Ethereum 安全性更新修補 eMudhra 憑證漏洞

研究人員發現，印度 eMudhra 營運的八個中間憑證授權單位所涉及的私密金鑰存在隨機性不足的問題，之後 Ethereum 用戶端 Teku 和 Besu 發布了安全性更新。這個漏洞可能讓攻擊者從公開憑證推算出金鑰，並簽發偽造憑證。Teku 於 10 月 27 日發布 26.10.3 版；Besu 則早一天發布 26.10.2 版，並從其 Docker 映像中移除對受影響憑證的信任。 由於 Java 預設不會檢查憑證是否已撤銷，位於驗證者與外部服務之間的攻擊者可能冒充該服務。在最糟的情況下，驗證者可能受騙而提出一個將交易手續費轉往其他地方的區塊。若負責處理驗證者金鑰的外部簽章服務遭到入侵，風險可能更嚴重。這個問題不影響 Ethereum 的點對點協定。 Teku 表示，預設的主網設定不受影響，也沒有已知的漏洞利用案例。Docker 使用者應更新用戶端映像；直接執行用戶端的營運者可能需要另外更新 Java 的受信任憑證。Teku 不支援 Java 26，並建議使用 Java 25。eMudhra 已撤銷受影響的憑證，並表示將退出憑證業務。這起事件凸顯驗證者基礎設施存在風險，但目前沒有資金損失的通報，也沒有證據顯示整個協定發生故障。