Kemas kini keselamatan Ethereum menangani kelemahan dalam sijil eMudhra

Klien Ethereum Teku dan Besu telah mengeluarkan kemas kini keselamatan selepas penyelidik menemui kelemahan rawak dalam kunci persendirian yang dikaitkan dengan lapan pihak berkuasa sijil perantaraan kendalian eMudhra dari India. Kelemahan itu boleh membolehkan penyerang mendapatkan kunci tersebut daripada sijil awam dan mengeluarkan sijil palsu. Teku mengeluarkan versi 26.10.3 pada 27 Oktober, manakala Besu mengeluarkan versi 26.10.2 sehari lebih awal dan membuang kepercayaan terhadap sijil yang terjejas daripada imej Docker mereka. Oleh sebab Java tidak menyemak pembatalan sijil secara lalai, penyerang yang berada di antara validator dengan perkhidmatan luaran boleh menyamar sebagai perkhidmatan tersebut. Dalam senario paling buruk, validator boleh diperdaya supaya mencadangkan blok yang mengalihkan yuran transaksi. Penandatangan luaran yang dikompromi dan mengendalikan kunci validator boleh menimbulkan risiko yang lebih serius. Isu ini tidak menjejaskan protokol peer-to-peer Ethereum. Teku menyatakan bahawa konfigurasi mainnet lalai tidak terjejas dan tiada eksploitasi yang diketahui. Pengguna Docker patut mengemas kini imej klien mereka; pengendali yang menjalankan klien secara langsung mungkin perlu mengemas kini sijil dipercayai Java secara berasingan. Teku tidak menyokong Java 26 dan mengesyorkan Java 25. eMudhra telah membatalkan sijil yang terjejas dan menyatakan bahawa syarikat itu akan meninggalkan perniagaan sijil. Insiden ini menonjolkan risiko dalam infrastruktur validator, tetapi tiada kehilangan dana dilaporkan dan tiada bukti kegagalan yang menjejaskan keseluruhan protokol.