Las actualizaciones de seguridad de Ethereum corrigen una vulnerabilidad en el certificado de eMudhra

Los clientes de Ethereum Teku y Besu han publicado actualizaciones de seguridad después de que unos investigadores descubrieran que la aleatoriedad de las claves privadas vinculadas a ocho autoridades de certificación intermedias gestionadas por la empresa india eMudhra era insuficiente. El fallo podría permitir a los atacantes obtener las claves a partir de certificados públicos y emitir certificados fraudulentos. Teku publicó la versión 26.10.3 el 27 de octubre, mientras que Besu lanzó la versión 26.10.2 un día antes, eliminando de sus imágenes Docker la confianza en los certificados afectados. Como Java no comprueba por defecto si los certificados han sido revocados, un atacante situado entre un validador y un servicio externo podría suplantar a ese servicio. En el peor de los casos, podría engañar a un validador para que propusiera un bloque que redirigiera las comisiones de las transacciones. El riesgo sería más grave si se comprometiera un firmante externo que gestionase claves de validadores. El problema no afecta a los protocolos entre pares de Ethereum. Teku afirmó que las configuraciones predeterminadas de la red principal no se ven afectadas y que no se conocen casos de explotación. Los usuarios de Docker deberían actualizar las imágenes de sus clientes; quienes ejecuten los clientes directamente quizá deban actualizar por separado los certificados de confianza de Java. Teku indica que Java 26 no es compatible y recomienda Java 25. eMudhra ha revocado los certificados afectados y ha anunciado que abandonará el negocio de los certificados. El incidente pone de relieve los riesgos de la infraestructura de validadores, pero no se ha informado de pérdidas de fondos ni hay pruebas de un fallo generalizado del protocolo.