インドの証明書会社での暗号学的な不備がEthereumに影響を及ぼし、攻撃者が一部のバリデーターのブロック報酬を自分たちのアカウントに静かに送金できる可能性がありました。
テク（Teku）は、イーサリアムのステークプルーフ側を実行するために多くのバリデーターが使用するソフトウェアで、火曜日にバージョン26.10.3をリリースしました。イーサリアムのトランザクションを処理するベス（Besu）は、月曜日にバージョン26.10.2をリリースしました。両方のアップデートでは、多くの運用者が実行する事前パッケージ化されたバージョンであるDockerイメージにおいて、インドの証明機関eMudhraに関連する証明書を信頼しなくなりました。
バリデーターは、Ethereumを安全に保ち、ブロックを提案することで手数料を獲得するためにETHをステークするコンピューターです。一部のバリデーターはインターネットを通じて他のサービスと通信し、正しい相手と通信していることをデジタル証明書に頼っています。
10月17日、研究者は、eMudhraの8つの中間証明機関のプライベートキーが十分なランダム性を持たずに生成されたことを発見しました。
これは、公開されている証明書自体からキーを導出できるということを意味しました。そのキーを保有している誰でも、パッチが適用されていないソフトウェアが本物と認識する証明書を発行できました。ブラウザはこれらの証明書をブロックし、eMudhraは1日後にそれらを無効化しました。その後、同社は証明書ビジネスから撤退すると発表しました。
詳細はこちら：ウェブサイトを保証する企業の秘密鍵が非常に弱く、8つがクラックされた
TekuおよびBesuが実行されるプログラミング言語Javaは、デフォルトで証明書が取り消されたかどうかをチェックしません。そのため、ブラウザがそれらを拒否した後も、TekuのDockerイメージは悪質な証明書を信頼し続けました。
バリデータとその接続先のサービスの間にいる攻撃者が、そのサービスを装う可能性があります。Tekuはセキュリティアドバイザリーで、このような方法で欺かれたバリデータが、手数料を攻撃者のアドレスに支払うブロックを提案する可能性があると述べています。
偽の外部署名者、つまりバリデーターの鍵を保管する分離されたサービスは、報酬の送付先を変更するために使用される署名を渡す可能性があり、Tekuはこれを最もリスクの高い設定と評価しました。
「メインネット上のデフォルトのTekuノードは影響を受けず、対応は必要ありません」とチームは記しており、「これまでに悪用の報告はされていません」と追加しました。TekuのセキュリティパートナーであるConsensys Diligenceが最初にこの問題を指摘しました。
Dockerを使用せずに自機でTekuまたはBesuを直接実行しているオペレーターは、Ethereumソフトウェアの更新ではJavaの信頼された証明書リストが変更されないため、Javaを手動で更新する必要があります。新しいDockerイメージも、ホストにインストールされたJavaを修正しません。
しかし、Java 26を使い続けているユーザーにとっては、対応がより難しくなります。Tekuはこのバージョンがサポート終了であり、パッチ適用済みのビルドは提供されないと述べており、これらの運用者はJava 25に移行する必要があります。