Un error de criptografía en una empresa de certificados india ha llegado a Ethereum, donde podría haber permitido a los atacantes enviar silenciosamente las recompensas de bloque de algunos validadores a ellos mismos.
Teku, el software que muchos validadores utilizan para ejecutar el lado de prueba de participación de Ethereum, lanzó la versión 26.10.3 el martes. Besu, que procesa las transacciones de Ethereum, lanzó la versión 26.10.2 el lunes. Ambas actualizaciones dejan de confiar en certificados vinculados a eMudhra, una autoridad de certificación india, en sus imágenes de Docker, las versiones preempaquetadas que muchos operadores ejecutan.
Los validadores son las computadoras que stakean ETH para asegurar Ethereum y ganar tarifas por proponer bloques. Algunos de ellos se comunican con otros servicios a través de internet y dependen de certificados digitales para asegurarse de que están hablando con el correcto.
El 17 de octubre, los investigadores descubrieron que las claves privadas detrás de ocho de las autoridades de certificación intermedias de eMudhra habían sido generadas con demasiada poca aleatoriedad.
Eso significaba que las claves podían deducirse a partir de los propios certificados, que son públicos. Cualquiera que poseyera esas claves podría emitir certificados que el software sin parchear aceptaría como auténticos. Los navegadores bloquearon los certificados, eMudhra los revocó un día después y la empresa ha declarado desde entonces que saldrá del negocio de certificados.
Leer más: Una empresa que avala sitios web tenía claves secretas tan débiles que se rompieron 8 de ellas
Java, el lenguaje de programación en el que se ejecutan Teku y Besu, no verifica por defecto si un certificado ha sido revocado. Por lo tanto, las imágenes de Docker de Teku seguían confiando en los certificados maliciosos incluso después de que los navegadores los hubieran descartado.
Un atacante ubicado entre un validador y un servicio al que se conecta podría hacerse pasar por ese servicio. En su avis de seguridad, Teku indicó que un validador engañado de esta manera podría proponer un bloque que pague sus tarifas a la dirección del atacante.
Un firmante externo falso, el servicio independiente que almacena las claves del validador, podría entregar firmas utilizadas para cambiar el destino de las recompensas, lo que Teku clasificó como la configuración más riesgosa.
“Un nodo Teku predeterminado en mainnet no se ve afectado y no requiere ninguna acción”, escribió el equipo, añadiendo que “no se ha reportado ninguna explotación”. Consensys Diligence, el socio de seguridad de Teku, inicialmente detectó el problema.
Los operadores que ejecutan Teku o Besu directamente en sus máquinas, sin Docker, deben actualizar Java ellos mismos, ya que actualizar el software de ethereum no afecta la lista de certificados confiables de Java. Las nuevas imágenes de Docker tampoco corrigen Java instalado en el host.
Sin embargo, quienes aún usan Java 26 tienen una solución más difícil. Teku indicó que esta versión ha alcanzado su fin de vida y no recibirá una compilación corregida, por lo que esos operadores deben pasar a Java 25.