Оновлення безпеки Ethereum усувають вразливість у сертифікаті eMudhra

| blocktempo.com
Клієнти Ethereum Teku і Besu випустили оновлення безпеки після того, як дослідники виявили недостатню випадковість у приватних ключах, пов’язаних із вісьмома проміжними центрами сертифікації, якими керує індійська компанія eMudhra. Ця вразливість могла дозволити зловмисникам вивести ключі з публічних сертифікатів і випускати шахрайські сертифікати. Teku випустив версію 26.10.3 27 жовтня, а Besu — версію 26.10.2 днем раніше, вилучивши зі своїх образів Docker довіру до уражених сертифікатів. Оскільки Java за замовчуванням не перевіряє відкликання сертифікатів, зловмисник, який опинився між валідатором і зовнішнім сервісом, міг би видати себе за цей сервіс. У найгіршому разі валідатора можна було б обманом змусити запропонувати блок, який перенаправляє комісії за транзакції. Компрометація зовнішнього підписувача, що керує ключами валідаторів, становила б серйознішу загрозу. Проблема не впливає на однорангові протоколи Ethereum. У Teku заявили, що стандартні конфігурації основної мережі не уражені й випадків експлуатації не відомо. Користувачам Docker слід оновити образи клієнтів; операторам, які запускають клієнти безпосередньо, можливо, доведеться окремо оновити довірені сертифікати Java. Teku зазначає, що Java 26 не підтримується, і рекомендує Java 25. eMudhra відкликала уражені сертифікати й заявила, що залишить ринок сертифікатів. Інцидент привертає увагу до ризиків інфраструктури валідаторів, однак про втрату коштів не повідомлялося, і доказів збою протоколу в цілому немає.
Neutral
Вразливість стосується довіри до сертифікатів в інфраструктурі валідаторів, а не консенсусу Ethereum чи його однорангових протоколів. За словами Teku, стандартні конфігурації основної мережі не зачеплені, а повідомлень про експлуатацію вразливості чи втрату коштів не надходило. Ці чинники обмежують безпосередні підстави для тривалого продажу ETH, хоча попередження про безпеку та потреба операторів оновити системи можуть спричинити короткочасну обережність або волатильність. У короткостроковій перспективі трейдери можуть стежити за впровадженням оновлень клієнтів і повідомленнями про експлуатацію вразливості чи перебої в роботі валідаторів. Якщо оновлення буде широко встановлено й інцидентів не виникне, вплив на ринок, імовірно, залишиться обмеженим. У довгостроковій перспективі цей інцидент може спонукати до ретельнішої перевірки сервісів валідаторів, зовнішніх підписувачів і залежностей від сертифікатів. Це може збільшити операційні витрати або посилити занепокоєння щодо безпеки, однак наявна інформація не свідчить про довготривалу загрозу для мережі Ethereum чи її фундаментальних показників. Загалом прямий вплив на ціну ETH є нейтральним.