Ethereum клиенттерінің әзірлеушілері Teku және Besu үшін қауіпсіздік жаңартуларын шығарды

Ethereum клиенттері Teku және Besu әзірлеушілері қауіпсіздік жаңартуларын шығарды: Besu нұсқасы 26.10.2 қазанның 26-сы күні, ал Teku нұсқасы 26.10.3 қазанның 27-сі күні шықты. Бұл жаңартулар шабуылдаушыларға валидатор қызметтерін жалған көрсетуге және блок сыйақыларын қайта бағыттауға мүмкіндік беретін осалдықты жояды.

Мәселе Үндістанның eMudhra сегіз аралық сертификаттау органының әлсіз кілттерінен туындады: жеке кілттер жеткіліксіз кездейсоқтықпен жасалды және оларды қоғамдық сертификаттардан математикалық түрде қалпына келтіруге болатын еді. eMudhra сертификаттарды қазанның 18-і күні қайтарып алды, ал Microsoft оларды қазанның 20-сы және 26-сы күндері Windows жаңартуларымен бұғаттады.

Ethereum үшін мәселе өзекті болып қалуда: Teku және Besu Java-ны пайдаланады, ол әдепкі бойынша сертификаттардың қайтарылу мәртебесін тексермейді. Сондықтан, әсер еткен орнатулар қайтарылғаннан кейін де бұзылған органдардан сертификаттарды қабылдауы мүмкін.

Жаңартулар Docker кескіндерінен төрт eMudhra түбірлік сертификаттарына сенімділікті жояды. Жеке Teku немесе Besu орнатуларының операторлары Java орталарын бөлек жаңартуы қажет. Teku Java 26 өзінің өмірлік циклінің соңына жеткенін ескертіп, Java 25-ке көшу қажеттігін айтты.

Бұл осалдық сыртқы қызметтерді қол қою, маяк түйіндерімен байланыс немесе блок жинау деректерін алу үшін пайдаланатын валидаторларға әсер етуі мүмкін. Шабуылдаушы қосылымды ұстап алып, жалған сертификат ұсынуы керек. Teku сыртқы қол қою қызметімен байланысты сценарийді ерекше маңызды деп атап өтті: конфигурацияға байланысты бұл валидаторды шығару үшін қолтаңбалар бере алады; өзара TLS аутентификациясы салдарларды қызмет көрсетуді тоқтатумен шектеді. Ethereum-ның тең-теңімен хаттамалары әсер етпейді. Стандартты негізгі желі конфигурациялары осал болмаған және пайдалану жағдайлары тіркелмеген.