تحديثات أمان إيثريوم تعالج خللًا في شهادة eMudhra

أصدر عميلَا إيثيريوم Teku وBesu تحديثات أمنية بعدما اكتشف باحثون ضعفًا في العشوائية المستخدمة لإنشاء المفاتيح الخاصة المرتبطة بثماني سلطات وسيطة لإصدار الشهادات تديرها شركة eMudhra الهندية. وقد يتيح هذا الخلل للمهاجمين استنتاج المفاتيح من الشهادات العامة وإصدار شهادات مزوّرة. أصدرت Teku الإصدار 26.10.3 في 27 أكتوبر، بينما أصدرت Besu الإصدار 26.10.2 قبل ذلك بيوم، وأزالت الثقة بالشهادات المتأثرة من صور Docker الخاصة بها. نظرًا إلى أن Java لا تتحقق افتراضيًا من إلغاء الشهادات، يمكن لمهاجم يتوسط الاتصال بين مدقّق وخدمة خارجية انتحال هوية تلك الخدمة. وفي أسوأ الحالات، قد يُخدع المدقّق لاقتراح كتلة تعيد توجيه رسوم المعاملات. وقد يشكّل اختراق مُوقّع خارجي يتولى إدارة مفاتيح المدقّقين خطرًا أشد. ولا تؤثر المشكلة في بروتوكولات الند للند الخاصة بإيثيريوم. قالت Teku إن الإعدادات الافتراضية للشبكة الرئيسية غير متأثرة، وإنه لا توجد حالات استغلال معروفة. وينبغي لمستخدمي Docker تحديث صور العملاء؛ أما مشغّلو العملاء مباشرةً فقد يحتاجون إلى تحديث شهادات Java الموثوقة بشكل منفصل. وتقول Teku إن Java 26 غير مدعومة وتوصي باستخدام Java 25. وقد ألغت eMudhra الشهادات المتأثرة وقالت إنها ستنسحب من مجال الشهادات. وتسلط الحادثة الضوء على مخاطر البنية التحتية للمدقّقين، لكن لم يُبلّغ عن خسائر مالية ولا توجد أدلة على إخفاق يشمل البروتوكول بأكمله.