مطوروا عملاء إيثريوم أصدروا تحديثات أمان لـ Teku و Besu

أصدر مطورو عملاء Ethereum Teku وBesu تحديثات أمان: إصدار Besu 26.10.2 في 26 أكتوبر، وإصدار Teku 26.10.3 في 27 أكتوبر. تعالج هذه التحديثات ثغرة أمنية يمكن أن تسمح للمهاجمين بانتحال خدمات المدقق وإعادة توجيه مكافآت الكتل.

نشأت المشكلة بسبب مفاتيح ضعيفة من ثماني سلطات تصديق وسيطة في الهند من eMudhra: تم إنشاء المفاتيح الخاصة بقدر غير كافٍ من العشوائية ويمكن إعادة بناؤها رياضياً من الشهادات العامة. قامت eMudhra بإلغاء الشهادات في 18 أكتوبر، وقامت Microsoft بحظرها مع تحديثات Windows في 20 و26 أكتوبر.

بالنسبة لـ Ethereum، تظل المشكلة ذات صلة: يستخدم Teku وBesu لغة Java، والتي لا تتحقق افتراضيًا من حالة إلغاء الشهادات. لذلك، يمكن أن تقبل التثبيتات المتأثرة شهادات من السلطات المخترقة حتى بعد الإلغاء.

تزيل التحديثات الثقة في أربع شهادات جذرية من eMudhra من صور Docker. يحتاج مشغلو تثبيتات Teku أو Besu المستقلة إلى تحديث بيئات Java الخاصة بهم بشكل منفصل. حذرت Teku من أن Java 26 قد وصلت إلى نهاية دورة حياتها، مما يستلزم الانتقال إلى Java 25.

يمكن أن تؤثر الثغرة على المدققين الذين يستخدمون خدمات خارجية للتوقيع أو الاتصال بعقد المنارة أو الحصول على بيانات تجميع الكتل. سيحتاج المهاجم إلى اعتراض الاتصال وتقديم شهادة مزيفة. أبرزت Teku السيناريو مع خدمة توقيع خارجية على أنه خطير بشكل خاص: اعتمادًا على التكوين، يمكن أن يوفر توقيعات لخروج المدقق؛ حصر التوثيق المتبادل TLS العواقب على رفض الخدمة. بروتوكولات نظير إلى نظير في Ethereum غير متأثرة. لم تكن التكوينات القياسية للشبكة الرئيسية عرضة للخطر، ولم يتم تسجيل أي حالات استغلال.