TL;DR
- Teku 26.10.3 et Besu 26.10.2 suppriment la confiance pour les racines de certificats liées à eMudhra après que des clés intermédiaires compromises aient exposé certaines configurations de validateur basées sur HTTPS à un risque d'usurpation.
- Les nœuds mainnet Teku par défaut n'ont pas été affectés, et aucune exploitation n'a été signalée, le risque dépendant des validateurs se connectant à des services externes via HTTPS.
- Les utilisateurs de Docker doivent mettre à jour les images clientes, tandis que les opérateurs autonomes doivent appliquer séparément un correctif à Java ; les utilisateurs de Java 26 doivent migrer vers des versions prises en charge de Java 25.
Teku et Besu ont publié des mises à jour de sécurité après que des clés de l'autorité de certification eMudhra compromises aient exposé les configurations de nœuds Ethereum à des connexions HTTPS falsifiées. Teku’s release notes recommandent la version 26.10.3, qui supprime la confiance envers quatre racines de certificats affectées dans les images Docker, tandis que Besu a publié la version 26.10.2. Ces mises à jour corrigent la confiance dans les certificats au niveau de la couche de distribution logicielle, et non une faille dans les règles de consensus d'Ethereum. Les nœuds mainnet par défaut de Teku n'ont pas été affectés, ce qui distingue cet incident des vulnérabilités du protocole Ethereum.
Des clés de certificat compromise ont créé un risque d'usurpation
Des chercheurs ont découvert que les clés privées de huit autorités de certification intermédiaires eMudhra pouvaient être récupérées car elles avaient été générées avec une insuffisance de aléatoire. Bien que les certificats aient été révoqués, Java ne vérifie pas la révocation par défaut, laissant les environnements d'exécution capables d'accepter des certificats falsifiés. Un attaquant positionné entre un nœud et un service HTTPS pourrait donc se faire passer pour ce point de terminaison dans les configurations vulnérables. Cet épisode renforce la raison pour laquelle Ethereum client diversity and operational security vont au-delà du code de consensus.
Les scénarios à risque le plus élevé impliquaient des validateurs se connectant à des services externes via HTTPS. Un point de terminaison falsifié pourrait manipuler les informations de construction de bloc, rediriger les bénéficiaires de frais ou obtenir des signatures via un signataire externe impersonné. Teku a indiqué qu’un attaquant pourrait amener un client validateur utilisant un nœud balise distant à proposer un bloc payant des frais à l’adresse de l’attaquant. Le risque dépendait de la position sur le réseau et des configurations des services distants, et non simplement de l’utilisation de Teku ou de Besu. Aucune exploitation n’a été signalée.
Teku 26.10.3 supprime la confiance pour emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 et AAA Certificate Services dans les images Docker. La mise à jour de Besu applique la même approche. Les opérateurs exécutant directement les binaires doivent mettre à jour Java séparément, car les mises à jour des clients ne remplacent pas le magasin de certificats de l’environnement d’exécution hôte. Les déploiements Docker et autonomes nécessitent donc des chemins de correction différents. Cette distinction est importante après les incidents d’infrastructure de validateur Ethereum, qui ont montré comment les dépendances hors protocole peuvent affecter les opérations de staking.
Java 26 crée une complication car il a atteint la fin de sa vie et ne recevra pas la version corrigée requise, ce qui signifie que les opérateurs concernés doivent migrer vers Java 25. Le réseau peer-to-peer Ethereum n'a pas été exposé car il ne dépend pas de ces autorités de certification. Les correctifs réduisent le risque lié au magasin de confiance tiers sans réparer une exploitation en cours sur le mainnet ni modifier le protocole Ethereum. Cet épisode s'inscrit dans d'autres travaux de sécurité, notamment la correction du routage des dépôts Glamsterdam, soulignant comment la sécurité des validateurs dépend du code du protocole et de l'infrastructure de soutien.