Клиенты Ethereum Teku и Besu закрыли уязвимость с перехватом комиссий валидаторов
Клиенты Ethereum Teku и Besu перестали доверять скомпрометированным сертификатам eMudhra, через которые можно было перенаправить награды валидаторов.
ETHEREUMSECURITY & HACKSNEWS
Lukas Brenner
10/29/20261 мин чтение
Консенсус-клиент Ethereum Teku и клиент исполнения Besu выпустили обновления, закрывающие уязвимость, через которую злоумышленники могли перенаправлять награды валидаторов, сообщил CoinDesk 29 октября. Besu 26.10.2, вышедший в понедельник, и Teku 26.10.3, вышедший во вторник, больше не доверяют в своих Docker-образах сертификатам индийского удостоверяющего центра eMudhra.
Проблема возникла из-за криптографической ошибки в eMudhra. Закрытые ключи восьми ее промежуточных удостоверяющих центров были сгенерированы с недостаточной случайностью, поэтому их можно было вычислить по публичным сертификатам. Исследователи обнаружили это 17 октября. Браузеры заблокировали сертификаты, на следующий день eMudhra их отозвала, а затем объявила об уходе из этого бизнеса.
По умолчанию Java не проверяет отзыв сертификатов, поэтому Docker-образы Teku продолжали доверять скомпрометированным сертификатам и после того, как браузеры от них отказались. Первой проблему заметила Consensys Diligence, партнер Teku по безопасности.
Как можно было увести награды
Атакующий, встроившийся между валидатором и внешним сервисом, мог выдать себя за этот сервис. По данным Teku, в таком случае валидатор мог предложить блок, комиссии за который ушли бы на адрес злоумышленника. Поддельный внешний подписант мог также возвращать подписи, меняющие получателя наград; эту конфигурацию в Teku назвали самой рискованной. Узлы Teku в основной сети с настройками по умолчанию не затронуты, случаев эксплуатации, по словам команды, не зафиксировано.
Операторам, использующим клиенты в Docker, рекомендуется установить последние образы. Тем, кто запускает ПО напрямую, нужно самостоятельно обновить Java на хосте, поскольку новые образы этого не исправляют. В Teku уточнили, что поддержка Java 26 завершена и исправленной сборки не будет, поэтому таким операторам придется перейти на Java 25.
У основных команд Ethereum напряженный период. На этой неделе разработчики также внесли в спецификацию исправление отдельной уязвимости, связанной с депозитами для стейкинга в готовящемся обновлении Glamsterdam, сообщает AMBCrypto. Активация обновления в тестовой сети Hoodi по-прежнему отложена, новая дата не назначена.
Источник: CoinDesk, Teku, AMBCrypto