Um erro de criptografia em uma empresa de certificados indiana chegou ao Ethereum, onde poderia ter permitido que atacantes enviassem silenciosamente algumas recompensas de bloco de validadores para si mesmos.
Teku, o software usado por muitos validadores para executar o lado de proof-of-stake do Ethereum, lançou a versão 26.10.3 na terça-feira. Besu, que processa transações do Ethereum, lançou a versão 26.10.2 na segunda-feira. Ambas as atualizações deixam de confiar em certificados vinculados à eMudhra, uma autoridade certificadora indiana, em suas imagens Docker, as versões pré-empacotadas executadas por muitos operadores.
Validadores são os computadores que fazem staking de ETH para garantir o Ethereum e ganhar taxas por propor blocos. Alguns deles se comunicam com outros serviços pela internet e dependem de certificados digitais para garantir que estão se comunicando com o correto.
Em 17 de outubro, pesquisadores descobriram que as chaves privadas por trás oito das autoridades de certificação intermediárias da eMudhra haviam sido geradas com pouca aleatoriedade.
Isso significava que as chaves poderiam ser deduzidas a partir dos próprios certificados, que são públicos. Qualquer pessoa com essas chaves poderia emitir certificados que software não atualizado aceitaria como autênticos. Os navegadores bloquearam os certificados, a eMudhra os revogou um dia depois e a empresa desde então afirmou que sairá do negócio de certificados.
Leia mais: Uma empresa que atesta sites tinha chaves secretas tão fracas que 8 delas foram quebradas
Java, a linguagem de programação na qual o Teku e o Besu são executados, não verifica por padrão se um certificado foi revogado. Assim, as imagens Docker do Teku continuavam confiando nos certificados inválidos mesmo após os navegadores os terem descartado.
Um atacante posicionado entre um validador e um serviço ao qual ele se conecta pode se passar por esse serviço. Em seu aviso de segurança, o Teku afirmou que um validador enganado dessa maneira poderia propor um bloco que pague suas taxas para o endereço do atacante.
Um assinante externo falso, o serviço separado que armazena as chaves de um validador, poderia entregar assinaturas usadas para alterar para onde os recompensas vão, o que o Teku classificou como a configuração mais arriscada.
“Um nó padrão do Teku no mainnet não é afetado e não requer nenhuma ação”, escreveu a equipe, acrescentando que “nenhuma exploração foi relatada”. A Consensys Diligence, parceira de segurança do Teku, inicialmente sinalizou o problema.
Operadores que executam Teku ou Besu diretamente em suas máquinas, sem Docker, precisam atualizar o Java manualmente, pois a atualização do software Ethereum não afeta a lista de certificados confiáveis do Java. As novas imagens do Docker também não corrigem o Java instalado no host.
Qualquer um ainda usando Java 26 tem uma correção mais difícil, no entanto. O Teku disse que essa versão está sem suporte e não receberá uma compilação corrigida, portanto, esses operadores precisam migrar para o Java 25.