이더리움 클라이언트 개발자들이 Teku와 Besu에 대한 보안 업데이트를 발표했습니다

Ethereum 클라이언트 Teku와 Besu의 개발자들은 보안 업데이트를 발표했습니다: Besu 버전 26.10.2는 10월 26일에, Teku 버전 26.10.3는 10월 27일에 출시되었습니다. 이 업데이트는 공격자가 검증자 서비스를 가장하고 블록 보상을 재지정할 수 있는 취약점을 해결합니다.

이 문제는 인도의 eMudhra의 여덟 중간 인증 기관의 약한 키로 인해 발생했습니다: 개인 키는 불충분한 무작위성으로 생성되었으며 공개 인증서에서 수학적으로 재구성될 수 있었습니다. eMudhra는 10월 18일에 인증서를 취소했으며, Microsoft는 10월 20일과 26일에 Windows 업데이트로 이를 차단했습니다.

Ethereum의 경우, 문제는 여전히 관련이 있습니다: Teku와 Besu는 Java를 사용하며, 기본적으로 인증서의 취소 상태를 확인하지 않습니다. 따라서 영향을 받은 설치는 취소 후에도 손상된 기관의 인증서를 수락할 수 있습니다.

업데이트는 Docker 이미지에서 네 개의 eMudhra 루트 인증서에 대한 신뢰를 제거합니다. 독립형 Teku 또는 Besu 설치의 운영자는 Java 환경을 별도로 업데이트해야 합니다. Teku는 Java 26의 수명이 종료되었음을 경고하며 Java 25로의 전환이 필요하다고 밝혔습니다.

이 취약점은 서명, 비콘 노드와의 통신, 또는 블록 조립 데이터를 얻기 위해 외부 서비스를 사용하는 검증자에게 영향을 미칠 수 있습니다. 공격자는 연결을 가로채고 가짜 인증서를 제시해야 합니다. Teku는 외부 서명 서비스와의 시나리오를 특히 심각하게 강조했습니다: 구성에 따라 이는 검증자 종료를 위한 서명을 제공할 수 있으며, 상호 TLS 인증은 서비스 거부로 결과를 제한했습니다. Ethereum의 피어 투 피어 프로토콜은 영향을 받지 않았습니다. 표준 메인넷 구성은 취약하지 않았으며, 악용 사례는 기록되지 않았습니다.