Клиент Ethereum выпустил обновление безопасности: исправлена уязвимость сертификатов eMudhra, узлы основной сети по умолчанию не затронуты

Уязвимость криптографической безопасности, связанная с индийским удостоверяющим центром eMudhra, затрагивает клиенты Ethereum Teku и Besu. Исследователи обнаружили, что закрытые ключи восьми промежуточных удостоверяющих центров eMudhra могут быть вычислены из-за недостаточной случайности, что позволяет злоумышленникам подделывать сертификаты и обманывать неподготовленное программное обеспечение, заставляя его доверять вредоносным сервисам.

Teku выпустила версию 26.1.3, а Besu выпустила версию 26.1.2, в которых доверие к соответствующим сертификатам было удалено из образов Docker. Если злоумышленник осуществит атаку "человек посередине", он может обмануть некоторых валидаторов, заставив их отправить вознаграждение за комиссию за блок на адрес злоумышленника; в определенной конфигурации с использованием внешнего подписчика риск может быть выше. Команда Teku сообщила, что узел Teku на основной сети Ethereum с настройками по умолчанию не подвержен воздействию, и никаких действий предпринимать не нужно, на данный момент нет сообщений о том, что уязвимость была использована.

Для операторов, которые запускают Teku или Besu непосредственно на хосте и не используют Docker, простое обновление клиента может быть недостаточно; необходимо также вручную обновить Java и список доверенных сертификатов. Операторам, которые все еще используют устаревшую Java 26, необходимо перейти на Java 25.