একটি ভারতীয় সার্টিফিকেট কোম্পানিতে ক্রিপ্টোগ্রাফির একটি ত্রুটি ইথেরিয়ামে প্রবেশ করেছে, যেখানে এটি আক্রমণকারীদের চুপিচুপি কিছু ভ্যালিডেটরদের ব্লক পুরস্কার নিজেদের দিকে পাঠানোর অনুমতি দিতে পারত।
টেকু, যে সফটওয়্যারটি অনেক ভ্যালিডেটর ইথেরিয়ামের প্রুফ-অফ-স্টেক পাশ চালানোর জন্য ব্যবহার করে, মঙ্গলবার ভার্সন 26.10.3 প্রকাশ করেছে। বেসু, যা ইথেরিয়াম ট্রানজেকশন প্রক্রিয়া করে, সোমবার ভার্সন 26.10.2 প্রকাশ করেছে। উভয় আপডেটই তাদের ডকার ইমেজগুলিতে, যা অনেক অপারেটর চালানোর জন্য প্রি-প্যাকেজড ভার্সন, eMudhra, একটি ভারতীয় সার্টিফিকেট অথরিটির সাথে সংযুক্ত সার্টিফিকেটগুলিকে বিশ্বাস করা বন্ধ করেছে।
ভ্যালিডেটরগুলি হল কম্পিউটার যারা ইথেরিয়াম নিরাপদ রাখতে ETH স্টেক করে এবং ব্লক প্রস্তাব করার জন্য ফি অর্জন করে। তাদের কিছু ইন্টারনেটের মাধ্যমে অন্যান্য সেবাগুলির সাথে যোগাযোগ করে, এবং তারা নিশ্চিত করতে ডিজিটাল সার্টিফিকেটের উপর নির্ভর করে যে তারা সঠিকটির সাথে যোগাযোগ করছে।
অক্টোবর ১৭-এ, গবেষকদের কাছে পাওয়া গেছে যে ইমুধ্রার আটটি মধ্যবর্তী সার্টিফিকেট অথরিটির প্রাইভেট কীগুলি অপর্যাপ্ত র্যান্ডমনেসের সাথে তৈরি করা হয়েছিল।
এর অর্থ ছিল যে কীগুলি সার্টিফিকেটগুলি থেকেই বের করা যেত, যেগুলি পাবলিক। সেই কীগুলি যার কাছে ছিল, তিনি অপ্যাচড সফটওয়্যারকে বাস্তব হিসাবে গ্রহণযোগ্য সার্টিফিকেট জারি করতে পারতেন। ব্রাউজারগুলি সার্টিফিকেটগুলি ব্লক করেছিল, eMudhra একদিন পরে এগুলি বাতিল করেছিল, এবং কোম্পানিটি এখন বলেছে যে এটি সার্টিফিকেট ব্যবসা থেকে বেরিয়ে যাবে।
জাভা, যে প্রোগ্রামিং ভাষার উপর টেকু এবং বেসু চলে, ডিফল্টরূপে একটি সার্টিফিকেট বাতিল হয়েছে কিনা তা চেক করে না। তাই টেকুর ডকার ইমেজগুলি ব্রাউজারগুলি যখন এগুলি বাতিল করে দিয়েছিল, তখনও খারাপ সার্টিফিকেটগুলির উপর বিশ্বাস রাখত।
একজন আক্রমণকারী যদি একটি ভ্যালিডেটর এবং এর সাথে সংযুক্ত একটি সার্ভিসের মধ্যে অবস্থান করে, তবে সে সেই সার্ভিসের ভূমিকা পালন করতে পারে। তার security advisory-এ টেকু বলেছে যে এইভাবে বিভ্রান্ত একটি ভ্যালিডেটর এমন একটি ব্লক প্রস্তাব করতে পারে যা এর ফি আক্রমণকারীর ঠিকানায় প্রেরণ করে।
একটি কাল্পনিক বাহ্যিক সাইনার, যে আলাদা সেবা একটি ভ্যালিডেটরের চাবি ধারণ করে, পুরস্কার কোথায় যাবে তা পরিবর্তনের জন্য ব্যবহৃত সাইনেচারগুলি হস্তান্তর করতে পারে, যা Teku সর্বাধিক ঝুঁকিপূর্ণ সেটআপ হিসাবে শ্রেণীবদ্ধ করেছে।
“মেইননেটে একটি ডিফল্ট টেকু নোড প্রভাবিত হয়নি এবং কোনও কাজের প্রয়োজন নেই,” টিমটি লিখেছে, যোগ করে যে “কোনও দুর্বলতা ব্যবহারের প্রতিবেদন করা হয়নি।” টেকুর সিকিউরিটি পার্টনার, কনসেনসিস ডিলিজেন্স প্রথমে এই সমস্যাটি চিহ্নিত করেছিল।
ডকার ছাড়া নিজেদের মেশিনে টেকু বা বেসু চালানোকারী অপারেটরদের নিজেদের জাভা আপডেট করতে হবে, কারণ ইথেরিয়াম সফটওয়্যার আপডেট করলে জাভার বিশ্বস্ত সার্টিফিকেটের তালিকা পরিবর্তিত হয় না। নতুন ডকার ইমেজগুলি হোস্টে ইনস্টল করা জাভাও ঠিক করে না।
যারা এখনও Java 26 ব্যবহার করছেন, তাদের জন্য সমাধানটি আরও কঠিন। টেকু বলেছে যে এই ভার্সনটি এখন সমর্থন শেষ হয়ে গেছে এবং প্যাচড বিল্ড পাবেন না, তাই এই অপারেটরদের Java 25-এ স্থানান্তরিত হতে হবে।