Gli aggiornamenti di sicurezza di Ethereum correggono una vulnerabilità nel certificato di eMudhra

I client Ethereum Teku e Besu hanno rilasciato aggiornamenti di sicurezza dopo che alcuni ricercatori hanno scoperto che le chiavi private associate a otto autorità di certificazione intermedie gestite dall’indiana eMudhra erano state generate con casualità insufficiente. La vulnerabilità potrebbe consentire agli aggressori di ricavare le chiavi dai certificati pubblici e di emettere certificati fraudolenti. Teku ha rilasciato la versione 26.10.3 il 27 ottobre, mentre Besu ha pubblicato la versione 26.10.2 il giorno prima, rimuovendo dalle proprie immagini Docker la fiducia nei certificati interessati. Poiché Java non verifica per impostazione predefinita la revoca dei certificati, un aggressore che si interponga tra un validatore e un servizio esterno potrebbe impersonare tale servizio. Nel peggiore dei casi, il validatore potrebbe essere indotto a proporre un blocco che reindirizza le commissioni delle transazioni. La compromissione di un firmatario esterno che gestisce le chiavi dei validatori comporterebbe un rischio più grave. Il problema non riguarda i protocolli peer-to-peer di Ethereum. Teku ha dichiarato che le configurazioni predefinite della mainnet non sono interessate e che non sono noti casi di sfruttamento. Gli utenti Docker dovrebbero aggiornare le immagini dei client; chi esegue i client direttamente potrebbe dover aggiornare separatamente i certificati attendibili di Java. Teku segnala che Java 26 non è supportato e raccomanda Java 25. eMudhra ha revocato i certificati interessati e ha dichiarato che uscirà dal settore dei certificati. L’incidente evidenzia i rischi dell’infrastruttura dei validatori, ma non sono state segnalate perdite di fondi né prove di un guasto a livello dell’intero protocollo.