Разработчики клиентов Ethereum выпустили обновления безопасности для Teku и Besu

Разработчики клиентов Ethereum Teku и Besu выпустили обновления безопасности: Besu версии 26.10.2 – 26 октября, Teku версии 26.10.3 – 27 октября. Они устраняют уязвимость, которая могла позволить злоумышленникам выдавать себя за сервисы валидаторов и перенаправлять вознаграждения за блоки.

Проблема возникла из-за слабых ключей восьми промежуточных центров сертификации индийской eMudhra: приватные ключи генерировались с недостаточной случайностью и математически восстанавливались по публичным сертификатам. eMudhra отозвала сертификаты 18 октября, Microsoft заблокировала их обновлениями Windows 20 и 26 октября.

Для Ethereum проблема осталась актуальной: Teku и Besu используют Java, которая по умолчанию не проверяет статус отзыва сертификатов. Поэтому затронутые установки могли принимать сертификаты скомпрометированных центров даже после отзыва.

Обновления удаляют доверие к четырем корневым сертификатам eMudhra из Docker-образов. Операторам отдельных установок Teku или Besu нужно отдельно обновить Java-среды. Teku предупредил, что Java 26 достигла конца жизненного цикла – нужен переход на Java 25.

Уязвимость могла затронуть валидаторов, использующих внешние сервисы для подписи, связи с beacon-узлами или получения данных о сборке блоков. Атакующему нужно перехватить соединение и предъявить поддельный сертификат. Teku назвал особенно серьезным сценарий с внешним сервисом подписи: в зависимости от конфигурации это могло дать подписи для выхода валидатора; взаимная TLS-аутентификация ограничивала последствия отказом в обслуживании. Одноранговые протоколы Ethereum не затронуты. Стандартные настройки основной сети не подпадали под уязвимость, случаев эксплуатации не зафиксировано.