Ethereum-Client-Entwickler haben Sicherheitsupdates für Teku und Besu veröffentlicht

Entwickler der Ethereum-Clients Teku und Besu haben Sicherheitsupdates veröffentlicht: Besu Version 26.10.2 am 26. Oktober und Teku Version 26.10.3 am 27. Oktober. Diese Updates beheben eine Schwachstelle, die es Angreifern ermöglichen könnte, sich als Validierungsdienste auszugeben und Blockbelohnungen umzuleiten.

Das Problem entstand aufgrund schwacher Schlüssel von acht Zwischenzertifizierungsstellen der indischen eMudhra: Private Schlüssel wurden mit unzureichender Zufälligkeit generiert und konnten mathematisch aus öffentlichen Zertifikaten rekonstruiert werden. eMudhra widerrief die Zertifikate am 18. Oktober, und Microsoft blockierte sie mit Windows-Updates am 20. und 26. Oktober.

Für Ethereum bleibt das Problem relevant: Teku und Besu verwenden Java, das standardmäßig den Widerrufsstatus von Zertifikaten nicht überprüft. Daher könnten betroffene Installationen Zertifikate von kompromittierten Behörden auch nach dem Widerruf akzeptieren.

Die Updates entfernen das Vertrauen in vier eMudhra-Stammzertifikate aus Docker-Images. Betreiber von eigenständigen Teku- oder Besu-Installationen müssen ihre Java-Umgebungen separat aktualisieren. Teku warnte, dass Java 26 das Ende seines Lebenszyklus erreicht hat, was einen Übergang zu Java 25 erforderlich macht.

Die Schwachstelle könnte Validatoren betreffen, die externe Dienste für das Signieren, die Kommunikation mit Beacon-Knoten oder das Abrufen von Blockmontagedaten verwenden. Ein Angreifer müsste die Verbindung abfangen und ein gefälschtes Zertifikat präsentieren. Teku hob das Szenario mit einem externen Signaturdienst als besonders ernst hervor: Je nach Konfiguration könnte dies Signaturen für den Validator-Austritt bereitstellen; gegenseitige TLS-Authentifizierung begrenzte die Folgen auf eine Dienstverweigerung. Ethereums Peer-to-Peer-Protokolle sind nicht betroffen. Standard-Mainnet-Konfigurationen waren nicht anfällig, und es wurden keine Ausnutzungsfälle aufgezeichnet.