EthereumクライアントがeMudhra証明書の脆弱性を修正するセキュリティ更新をリリース

ChainCatcherの情報によると、インドの証明機関eMudhraの暗号セキュリティ脆弱性が、イーサリアムクライアントTekuとBesuに影響を及ぼしています。研究者らは、eMudhraが運営する8つの中間証明機関の秘密鍵がランダム性の不足により推定可能であることを発見しました。これにより、攻撃者は証明書を偽造し、修正されていないソフトウェアを騙して悪意のあるサービスを信頼させる可能性があります。Tekuはバージョン26.1.3をリリースし、Besuはバージョン26.1.2をリリースし、両者ともDockerイメージから関連する証明書の信頼を削除しました。攻撃者が中間者攻撃を実行した場合、一部のバリデーターがブロック手数料報酬を攻撃者のアドレスに送信するよう誘導される可能性があります。外部署名器を使用する特定の構成では、リスクがさらに高まる可能性があります。Tekuチームは、デフォルト設定のイーサリアムメインネットTekuノードには影響がないため、特別な対応は不要であり、現在のところこの脆弱性が悪用された報告はないと述べています。Dockerを使用せずにホスト上でTekuまたはBesuを直接実行している運用者は、クライアントの更新だけでは不十分であり、Javaおよびその信頼された証明書リストを手動で更新する必要があります。なお、メンテナンスが終了したJava 26を使用している運用者は、Java 25への移行が必要です。