Ethereum 安全性更新修補 eMudhra 憑證漏洞

研究人員發現，印度 eMudhra 營運的八個中級證書頒發機構所涉及的私鑰存在隨機性不足的問題，之後 Ethereum 客戶端 Teku 和 Besu 發佈了安全更新。這個漏洞可能令攻擊者從公開證書推算出密鑰，並簽發偽造證書。Teku 於 10 月 27 日發佈 26.10.3 版本；Besu 則早一天發佈 26.10.2 版本，並從其 Docker 映像中移除對受影響證書的信任。 由於 Java 預設不會檢查證書是否已撤銷，位於驗證者與外部服務之間的攻擊者可能冒充該服務。在最壞情況下，驗證者可能受騙而提出一個把交易費用轉往其他地方的區塊。若負責處理驗證者密鑰的外部簽署服務遭入侵，風險可能更加嚴重。這個問題不影響 Ethereum 的點對點協定。 Teku 表示，預設的主網配置不受影響，亦沒有已知的漏洞利用個案。Docker 用戶應更新客戶端映像；直接運行客戶端的營運者可能需要另外更新 Java 的受信任證書。Teku 不支援 Java 26，並建議使用 Java 25。eMudhra 已撤銷受影響的證書，並表示將退出證書業務。事件突顯驗證者基礎設施存在風險，但目前沒有資金損失報告，也沒有證據顯示協定整體出現故障。