อัปเดตความปลอดภัยของ Ethereum แก้ไขช่องโหว่ในใบรับรองของ eMudhra

ไคลเอนต์ Ethereum อย่าง Teku และ Besu ได้ออกอัปเดตด้านความปลอดภัย หลังนักวิจัยพบว่าการสุ่มสร้างคีย์ส่วนตัวที่เกี่ยวข้องกับหน่วยงานออกใบรับรองระดับกลางแปดแห่งซึ่งดำเนินงานโดย eMudhra บริษัทจากอินเดียมีความอ่อนแอ ข้อบกพร่องนี้อาจเปิดทางให้ผู้โจมตีคำนวณคีย์จากใบรับรองสาธารณะและออกใบรับรองปลอมได้ Teku ออกเวอร์ชัน 26.10.3 เมื่อวันที่ 27 ตุลาคม ส่วน Besu ออกเวอร์ชัน 26.10.2 ก่อนหน้านั้นหนึ่งวัน โดยนำความเชื่อถือใบรับรองที่ได้รับผลกระทบออกจากอิมเมจ Docker ของตน เนื่องจาก Java ไม่ตรวจสอบการเพิกถอนใบรับรองเป็นค่าเริ่มต้น ผู้โจมตีที่อยู่ระหว่างวาลิเดเตอร์กับบริการภายนอกอาจปลอมเป็นบริการนั้นได้ ในกรณีเลวร้ายที่สุด วาลิเดเตอร์อาจถูกหลอกให้เสนอสร้างบล็อกที่เปลี่ยนเส้นทางค่าธรรมเนียมธุรกรรม การถูกเจาะระบบของผู้ลงนามภายนอกที่ดูแลคีย์ของวาลิเดเตอร์อาจก่อความเสี่ยงที่ร้ายแรงกว่า ปัญหานี้ไม่ส่งผลต่อโปรโตคอลเพียร์ทูเพียร์ของ Ethereum Teku ระบุว่าการตั้งค่า mainnet เริ่มต้นไม่ได้รับผลกระทบ และยังไม่พบการนำช่องโหว่ไปใช้ ผู้ใช้ Docker ควรอัปเดตอิมเมจของไคลเอนต์ ส่วนผู้ที่เรียกใช้ไคลเอนต์โดยตรงอาจต้องอัปเดตใบรับรองที่ Java เชื่อถือแยกต่างหาก Teku ระบุว่าไม่รองรับ Java 26 และแนะนำให้ใช้ Java 25 eMudhra ได้เพิกถอนใบรับรองที่ได้รับผลกระทบแล้ว และกล่าวว่าจะถอนตัวจากธุรกิจใบรับรอง เหตุการณ์นี้ชี้ให้เห็นความเสี่ยงในโครงสร้างพื้นฐานของวาลิเดเตอร์ แต่ไม่มีรายงานการสูญเสียเงินทุนหรือหลักฐานว่าระบบโปรโตคอลล้มเหลวในวงกว้าง