Ethereums säkerhetsuppdateringar åtgärdar en sårbarhet i eMudhras certifikat

Ethereum-klienterna Teku och Besu har släppt säkerhetsuppdateringar efter att forskare upptäckt svag slumpmässighet i privata nycklar kopplade till åtta mellanliggande certifikatutfärdare som drivs av Indiens eMudhra. Bristen skulle kunna göra det möjligt för angripare att härleda nycklarna från offentliga certifikat och utfärda falska certifikat. Teku släppte version 26.10.3 den 27 oktober, medan Besu släppte version 26.10.2 en dag tidigare och tog bort förtroendet för de berörda certifikaten från sina Docker-avbildningar. Eftersom Java som standard inte kontrollerar om certifikat har återkallats skulle en angripare som befinner sig mellan en validator och en extern tjänst kunna utge sig för att vara den tjänsten. I värsta fall skulle en validator kunna luras att föreslå ett block som omdirigerar transaktionsavgifter. En komprometterad extern signerare som hanterar validatornycklar skulle kunna innebära en allvarligare risk. Problemet påverkar inte Ethereums peer-to-peer-protokoll. Teku uppger att standardkonfigurationer för mainnet inte påverkas och att ingen exploatering är känd. Docker-användare bör uppdatera sina klientavbildningar. Operatörer som kör klienter direkt kan behöva uppdatera Javas betrodda certifikat separat. Teku stöder inte Java 26 och rekommenderar Java 25. eMudhra har återkallat de berörda certifikaten och uppgett att företaget lämnar certifikatbranschen. Händelsen belyser risker i validatorinfrastrukturen, men inga förluster av tillgångar har rapporterats och det finns inga belägg för ett protokollomfattande fel.