Ethereum-Clients Teku und Besu schließen Lücke bei Validator-Gebühren
Die Ethereum-Clients Teku und Besu entziehen kompromittierten eMudhra-Zertifikaten das Vertrauen, über die Angreifer Validator-Belohnungen umleiten könnten.
ETHEREUMSECURITY & HACKSNEWS
Lukas Brenner
10/29/20261 min lesen
Der Ethereum-Konsensclient Teku und der Ausführungsclient Besu haben Updates veröffentlicht, die eine Schwachstelle schließen, über die Angreifer Validator-Belohnungen hätten umleiten können. Das berichtete CoinDesk am 29. Oktober. Besu 26.10.2 vom Montag und Teku 26.10.3 vom Dienstag vertrauen in ihren Docker-Images nicht mehr auf Zertifikate der indischen Zertifizierungsstelle eMudhra.
Ursache ist ein Kryptografiefehler bei eMudhra. Die privaten Schlüssel von acht ihrer Zwischenzertifizierungsstellen wurden mit zu wenig Zufälligkeit erzeugt und ließen sich daher aus den öffentlichen Zertifikaten ableiten. Forscher entdeckten das Problem am 17. Oktober. Browser sperrten die Zertifikate, eMudhra widerrief sie einen Tag später und kündigte an, das Zertifikatsgeschäft aufzugeben.
Da Java Zertifikatssperren standardmäßig nicht prüft, vertrauten die Docker-Images von Teku den kompromittierten Zertifikaten auch dann noch, als Browser sie bereits blockiert hatten. Entdeckt wurde das Problem zunächst von Consensys Diligence, dem Sicherheitspartner von Teku.
Wie Belohnungen umgelenkt werden konnten
Ein Angreifer, der sich zwischen einen Validator und einen externen Dienst schaltet, hätte diesen Dienst imitieren können. Laut Teku hätte ein Validator dann einen Block vorschlagen können, dessen Gebühren an die Adresse des Angreifers fließen. Ein gefälschter externer Signierer hätte zudem Signaturen liefern können, die das Ziel der Belohnungen ändern. Diese Konfiguration stuft Teku als die riskanteste ein. Standardmäßige Teku-Knoten im Mainnet waren nicht betroffen, und laut dem Team wurde keine Ausnutzung gemeldet.
Betreiber, die die Clients in Docker nutzen, sollten die neuesten Images installieren. Wer die Software direkt betreibt, muss Java auf dem Host selbst aktualisieren, da die neuen Images das nicht abdecken. Nach Angaben von Teku hat Java 26 das Ende seiner Laufzeit erreicht und erhält keinen Patch mehr, betroffene Betreiber müssen daher auf Java 25 wechseln.
Für die Kernteams von Ethereum ist es eine arbeitsreiche Phase. In dieser Woche wurde laut AMBCrypto auch eine Spezifikationsänderung zusammengeführt, die eine separate Lücke bei Staking-Einzahlungen im geplanten Glamsterdam-Upgrade behebt. Die Aktivierung des Upgrades im Testnetz Hoodi bleibt verschoben, ein neuer Termin steht aus.
Quelle: CoinDesk, Teku, AMBCrypto