以太坊客户端开发者发布了Teku和Besu的安全更新

以太坊客户端Teku和Besu的开发者发布了安全更新：Besu版本26.10.2于10月26日发布，Teku版本26.10.3于10月27日发布。这些更新解决了一个漏洞，该漏洞可能允许攻击者冒充验证者服务并重定向区块奖励。

问题的产生是由于印度eMudhra的八个中间认证机构的密钥强度不足：私钥生成时随机性不足，可以通过公证书进行数学重构。eMudhra于10月18日撤销了这些证书，微软通过10月20日和26日的Windows更新阻止了它们。

对于以太坊，这个问题仍然相关：Teku和Besu使用Java，而Java默认不检查证书的撤销状态。因此，受影响的安装可能会在撤销后仍然接受来自被攻破的认证机构的证书。

更新从Docker镜像中移除了对四个eMudhra根证书的信任。独立的Teku或Besu安装的操作员需要单独更新他们的Java环境。Teku警告称，Java 26已达到生命周期的终点，需要过渡到Java 25。

该漏洞可能影响使用外部服务进行签名、与信标节点通信或获取区块组装数据的验证者。攻击者需要拦截连接并提供伪造的证书。Teku指出，使用外部签名服务的场景尤其严重：根据配置，这可能为验证者退出提供签名；双向TLS认证将后果限制在拒绝服务。以太坊的点对点协议不受影响。标准主网配置没有漏洞记录，也没有记录到利用案例。