عملاء الإيثيريوم يطلقون تحديث أمني لإصلاح ثغرة شهادة eMudhra

رسالة من ChainCatcher: أثر ثغرة أمنية تشفيرية في eMudhra، هيئة إصدار الشهادات الهندية، على عميلي إيثريوم Teku و Besu. اكتشف الباحثون أن المفاتيح الخاصة لثمانية سلطات إصدار شهادات وسطية تابعة لـ eMudhra قد تكون قابلة للتنبؤ بسبب ضعف العشوائية، مما قد يسمح للمهاجمين بتأليف شهادات مزيفة وخداع البرامج غير المُصلحة للاعتماد على خدمات ضارة. أصدر Teku الإصدار 26.1.3، وأصدر Besu الإصدار 26.1.2، وكلاهما أزال الثقة في الشهادات ذات الصلة من صور Docker. إذا نفّذ المهاجمون هجومًا بين الوسيط، فقد يخدعون بعض المُحققين لإرسال مكافآت رسوم الكتلة إلى عنوان المهاجم؛ وفي التكوينات المحددة التي تستخدم مُوقّعًا خارجيًا، قد تكون المخاطر أعلى. أفاد فريق Teku أن عقدات Teku الافتراضية على شبكة إيثريوم الرئيسية غير متأثرة ولا تتطلب أي إجراء، ولا توجد حتى الآن تقارير عن استغلال هذه الثغرة. بالنسبة للمشغلين الذين يشغلون Teku أو Besu مباشرة على الخادم الأساسي دون استخدام Docker، قد لا يكون تحديث العميل كافيًا، بل يجب تحديث Java وقائمة الشهادات الموثوقة يدويًا. أما المشغلون الذين لا زالوا يستخدمون Java 26 المتوقف دعمه، فيجب عليهم التحول إلى Java 25.