ایتھیریم کی سیکیورٹی اپ ڈیٹس eMudhra سرٹیفکیٹ کی خامی دور کرتی ہیں

محققین کی جانب سے بھارت کی eMudhra کے زیرِ انتظام آٹھ درمیانی سرٹیفکیٹ اتھارٹیز سے منسلک نجی کلیدوں میں کمزور بے ترتیبی دریافت کرنے کے بعد Ethereum کلائنٹس Teku اور Besu نے سیکیورٹی اپ ڈیٹس جاری کی ہیں۔ اس خامی کے ذریعے حملہ آور عوامی سرٹیفکیٹس سے کلیدیں اخذ کرکے جعلی سرٹیفکیٹس جاری کر سکتے ہیں۔ Teku نے 27 اکتوبر کو ورژن 26.10.3 جاری کیا، جبکہ Besu نے ایک روز پہلے ورژن 26.10.2 جاری کرکے اپنی Docker امیجز سے متاثرہ سرٹیفکیٹس پر اعتماد ختم کردیا۔ Java طے شدہ طور پر یہ جانچ نہیں کرتا کہ سرٹیفکیٹ منسوخ کیا گیا ہے یا نہیں۔ اس لیے validator اور کسی بیرونی سروس کے درمیان موجود حملہ آور اس سروس کا روپ دھار سکتا ہے۔ بدترین صورت میں validator کو ایسا بلاک تجویز کرنے پر دھوکا دیا جا سکتا ہے جو ٹرانزیکشن فیس کا رخ موڑ دے۔ validator کی کلیدیں سنبھالنے والے بیرونی signer کا کنٹرول حاصل کر لیا جائے تو خطرہ زیادہ سنگین ہو سکتا ہے۔ یہ مسئلہ Ethereum کے peer-to-peer پروٹوکولز کو متاثر نہیں کرتا۔ Teku کے مطابق mainnet کی طے شدہ ترتیبات متاثر نہیں ہوئیں اور کسی استحصال کا علم نہیں۔ Docker استعمال کرنے والوں کو اپنے کلائنٹ امیجز اپ ڈیٹ کرنے چاہییں؛ جو آپریٹرز کلائنٹس براہِ راست چلاتے ہیں، انہیں Java کے قابلِ اعتماد سرٹیفکیٹس الگ سے اپ ڈیٹ کرنے پڑ سکتے ہیں۔ Teku، Java 26 کو سپورٹ نہیں کرتا اور Java 25 تجویز کرتا ہے۔ eMudhra نے متاثرہ سرٹیفکیٹس منسوخ کر دیے ہیں اور کہا ہے کہ وہ سرٹیفکیٹس کا کاروبار چھوڑ دے گا۔ یہ واقعہ validator کے بنیادی ڈھانچے میں موجود خطرات کو نمایاں کرتا ہے، تاہم فنڈز کے نقصان کی کوئی اطلاع نہیں اور پورے پروٹوکول کی ناکامی کا بھی کوئی ثبوت نہیں۔