Los desarrolladores de clientes de Ethereum lanzaron actualizaciones de seguridad para Teku y Besu

Los desarrolladores de los clientes de Ethereum, Teku y Besu, han lanzado actualizaciones de seguridad: la versión 26.10.2 de Besu el 26 de octubre y la versión 26.10.3 de Teku el 27 de octubre. Estas actualizaciones abordan una vulnerabilidad que podría permitir a los atacantes hacerse pasar por servicios de validación y redirigir las recompensas de los bloques.

El problema surgió debido a claves débiles de ocho autoridades de certificación intermedias de eMudhra de India: las claves privadas se generaron con una aleatoriedad insuficiente y podrían reconstruirse matemáticamente a partir de certificados públicos. eMudhra revocó los certificados el 18 de octubre, y Microsoft los bloqueó con actualizaciones de Windows el 20 y 26 de octubre.

Para Ethereum, el problema sigue siendo relevante: Teku y Besu usan Java, que por defecto no verifica el estado de revocación de los certificados. Por lo tanto, las instalaciones afectadas podrían aceptar certificados de autoridades comprometidas incluso después de la revocación.

Las actualizaciones eliminan la confianza en cuatro certificados raíz de eMudhra de las imágenes de Docker. Los operadores de instalaciones independientes de Teku o Besu necesitan actualizar por separado sus entornos de Java. Teku advirtió que Java 26 ha llegado al final de su ciclo de vida, lo que requiere una transición a Java 25.

La vulnerabilidad podría afectar a los validadores que utilizan servicios externos para la firma, la comunicación con nodos beacon o la obtención de datos de ensamblaje de bloques. Un atacante necesitaría interceptar la conexión y presentar un certificado falso. Teku destacó el escenario con un servicio de firma externo como particularmente serio: dependiendo de la configuración, esto podría proporcionar firmas para la salida de validadores; la autenticación mutua TLS limitó las consecuencias a la denegación de servicio. Los protocolos peer-to-peer de Ethereum no se ven afectados. Las configuraciones estándar de mainnet no eran vulnerables y no se han registrado casos de explotación.