Teku и Besu выпустили обновления безопасности после компрометации сертификата eMudhra

Teku и Besu, программное обеспечение для узлов Ethereum, выпустили обновления безопасности Docker после компрометации удостоверяющего центра eMudhra. Затронутые операторы могут обновить свои контейнеры, в то время как для бинарных установок требуется отдельная проверка их Java-окружения. Teku 26.10.3, выпущенный 27 октября, и Besu 26.10.2, выпущенный 26 октября, прекращают доверять четырем скомпрометированным корневым сертификатам. Уязвимость Teku зависит от конфигурации; узлы основной сети по умолчанию без HTTPS-URL не затронуты. Злоумышленнику необходимо перехватить HTTPS-соединение, чтобы использовать неустраненное окружение, но о каких-либо попытках эксплуатации не сообщалось. Инцидент касался восстанавливаемых закрытых ключей для восьми промежуточных удостоверяющих центров emSign G3, при этом eMudhra признала ошибку в скрипте, которая привела к созданию слабых ключей. Промежуточные сертификаты были отозваны после отчета от 17 октября. Операторы должны проверить свои Java-окружения, так как в рекомендациях Teku указано, что Java по умолчанию не проверяет отзыв сертификатов. Docker-образы Teku до версии 26.10.2 сохраняют скомпрометированный корень, и обновление Java на хосте не влияет на окружение в этих контейнерах. Besu ограничивает изменение удаления корня только Docker-образами, в то время как пользователи tar/zip могут по-прежнему иметь JDK, который доверяет этим корням. Зависимости HTTPS Teku включают удаленных подписантов и узлы маяка, и неустраненное окружение может позволить злоумышленникам выдавать себя за эти сервисы, потенциально перенаправляя сборы за предложения или вызывая пропуски обязанностей валидаторов. Взаимная аутентификация TLS клиента у подписанта ограничивает влияние до отказа в обслуживании.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.