Ethereumin tietoturvapäivitykset korjaavat eMudhran varmenteessa olevan haavoittuvuuden
Ethereum-asiakasohjelmat Teku ja Besu ovat julkaisseet tietoturvapäivitykset sen jälkeen, kun tutkijat havaitsivat heikkoa satunnaisuutta yksityisissä avaimissa, jotka liittyvät kahdeksaan intialaisen eMudhran ylläpitämään välivarmentajaan. Haavoittuvuus voisi antaa hyökkääjille mahdollisuuden johtaa avaimet julkisista varmenteista ja myöntää vilpillisiä varmenteita. Teku julkaisi version 26.10.3 27. lokakuuta, kun taas Besu julkaisi version 26.10.2 päivää aiemmin ja poisti luottamuksen kyseisiin varmenteisiin Docker-kuvistaan.
Koska Java ei oletusarvoisesti tarkista varmenteiden mitätöintiä, validoijan ja ulkoisen palvelun välissä oleva hyökkääjä voisi esiintyä kyseisenä palveluna. Pahimmassa tapauksessa validoija voitaisiin huijata ehdottamaan lohkoa, joka ohjaa transaktiomaksut muualle. Vakavamman riskin voisi aiheuttaa ulkoisen allekirjoittajan vaarantuminen, jos se hallinnoi validoijien avaimia. Ongelma ei vaikuta Ethereumin vertaisverkkoprotokolliin.
Tekun mukaan oletusarvoiset mainnet-määritykset eivät ole vaarassa eikä hyväksikäyttötapauksia tunneta. Docker-käyttäjien tulisi päivittää asiakasohjelmiensa kuvat; suoraan asiakasohjelmia ajavien operaattorien on ehkä päivitettävä Javan luotetut varmenteet erikseen. Teku ilmoittaa, ettei Java 26:ta tueta, ja suosittelee Java 25:tä. eMudhra on mitätöinyt kyseiset varmenteet ja ilmoittanut vetäytyvänsä varmennealalta. Tapaus korostaa validoijainfrastruktuurin riskejä, mutta varojen menetyksistä ei ole raportoitu eikä näyttöä koko protokollan laajuisesta häiriöstä ole.
Neutral
Haavoittuvuus koskee varmenteisiin kohdistuvaa luottamusta validaattori-infrastruktuurissa, ei Ethereumin konsensusta tai vertaisverkko-protokollia. Tekun mukaan pääverkon oletusasetukset eivät ole alttiita, eikä haavoittuvuuden hyväksikäytöstä tai varojen menetyksistä ole ilmoitettu. Nämä tekijät rajoittavat välittömiä perusteita ETH:n pitkäkestoiselle myyntipaineelle, vaikka turvallisuusvaroitus ja operaattoreiden tarve päivittää järjestelmänsä voivat aiheuttaa lyhytaikaista varovaisuutta tai volatiliteettia.
Lyhyellä aikavälillä kauppiaat saattavat seurata asiakasohjelmistojen päivitysten käyttöönottoa sekä mahdollisia ilmoituksia haavoittuvuuden hyväksikäytöstä tai validaattorien toiminnan häiriöistä. Jos päivitykset otetaan laajalti käyttöön eikä välikohtauksia ilmene, vaikutus markkinoihin jää todennäköisesti vähäiseksi. Pidemmällä aikavälillä tapaus voi lisätä validaattoripalveluiden, ulkoisten allekirjoittajien ja varmenneriippuvuuksien tarkastelua. Tämä voi nostaa käyttökustannuksia tai voimistaa turvallisuushuolia, mutta saatavilla olevat tiedot eivät viittaa pitkäaikaiseen uhkaan Ethereum-verkolle tai sen perustekijöille. Kokonaisuutena suora vaikutus ETH:n hintaan on neutraali.