ChainCatcher rapporte qu'une faille de sécurité cryptographique chez l'autorité de certification indienne eMudhra affecte les clients Ethereum Teku et Besu. Les chercheurs ont découvert que les clés privées de huit autorités de certification intermédiaires d'eMudhra pourraient être déduites en raison d'une insuffisance de randomisation, permettant à un attaquant de falsifier des certificats et de tromper les logiciels non corrigés pour qu'ils fassent confiance à des services malveillants. Teku a publié la version 26.1.3 et Besu la version 26.1.2, supprimant toutes deux la confiance envers les certificats concernés dans leurs images Docker. Si un attaquant mène une attaque de type homme-du-milieu, il pourrait tromper certains validateurs pour qu'ils envoient les récompenses de frais de bloc à une adresse contrôlée par l'attaquant ; dans certaines configurations utilisant un signataire externe, ce risque pourrait être accru. L'équipe Teku indique que les nœuds Teku sur le réseau principal Ethereum en configuration par défaut ne sont pas affectés et qu'aucune action n'est requise ; pour l'heure, aucun exploit de cette vulnérabilité n'a été signalé. Pour les opérateurs exécutant Teku ou Besu directement sur l'hôte sans Docker, une simple mise à jour du client peut ne pas suffire : il est nécessaire de mettre à jour manuellement Java et sa liste de certificats approuvés. Les opérateurs utilisant toujours Java 26, qui n'est plus maintenu, doivent migrer vers Java 25.
Les clients Ethereum publient une mise à jour de sécurité pour corriger la vulnérabilité du certificat eMudhra
ChaincatcherPartager
Résumé
Les clients Ethereum Teku et Besu ont publié des mises à jour de sécurité pour corriger une vulnérabilité liée à l'autorité de certification eMudhra. Des chercheurs ont découvert que huit autorités de certification intermédiaires sous eMudhra présentaient une faiblesse de randomisation lors de la génération des clés privées, créant un risque de violation de sécurité. Cette faille pourrait permettre à des attaquants de falsifier des certificats et d'effectuer des attaques de type homme-du-milieu. Teku 26.1.3 et Besu 26.1.2 ne font désormais plus confiance aux certificats affectés dans les images Docker. Les nœuds utilisant des signataires externes sont plus à risque. Teku indique que les nœuds mainnet par défaut ne sont pas concernés et aucune exploitation n'a été observée. Les opérateurs utilisant des configurations non Docker doivent mettre à jour manuellement Java et leur liste de certificats. Les utilisateurs sur Java 26 sont invités à passer à Java 25.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.