Утечка криптографии в индийской сертификационной компании проникла в ethereum, что могло позволить злоумышленникам тайно пересылать блоковые вознаграждения некоторых валидаторов себе.
Teku, программное обеспечение, которое многие валидаторы используют для запуска стейк-сайда Ethereum, выпустил версию 26.10.3 во вторник. Besu, который обрабатывает транзакции Ethereum, выпустил версию 26.10.2 в понедельник. Оба обновления прекращают доверять сертификатам, связанным с eMudhra — индийским центром сертификации — в своих Docker-образах, предварительно упакованных версиях, которые используют многие операторы.
Валидаторы — это компьютеры, которые стейкают ETH для обеспечения безопасности Ethereum и получения комиссий за предложение блоков. Некоторые из них общаются с другими сервисами через интернет и полагаются на цифровые сертификаты, чтобы убедиться, что общаются с правильным.
17 октября исследователи обнаружили, что частные ключи восьми промежуточных центров сертификации eMudhra были сгенерированы с недостаточной случайностью.
Это означало, что ключи можно было определить непосредственно из сертификатов, которые являются общедоступными. Любой, кто обладал этими ключами, мог выдавать сертификаты, которые незащищённое программное обеспечение принимало бы за подлинные. Браузеры заблокировали эти сертификаты, eMudhra отозвала их через день, и компания с тех пор заявила, что выйдет из бизнеса сертификатов.
Читать далее: Компания, которая гарантирует веб-сайты, имела такие слабые секретные ключи, что 8 из них были взломаны
Java — язык программирования, на котором работают Teku и Besu — по умолчанию не проверяет, был ли сертификат отозван. Поэтому образы Docker Teku продолжали доверять плохим сертификатам даже после того, как браузеры их отклонили.
Злоумышленник, находящийся между валидатором и сервисом, к которому он подключается, может выдавать себя за этот сервис. В своем информационном бюллетене по безопасности Teku сообщила, что валидатор, обманутый таким образом, может предложить блок, в котором комиссии перечисляются на адрес злоумышленника.
Фальшивый внешний подписант — отдельный сервис, хранящий ключи валидатора — может передать подписи, используемые для изменения адреса получения вознаграждений, что Teku классифицировал как самый рискованный вариант настройки.
Команда написала: «Стандартная нода Teku на мейннете не затронута и не требует действий», добавив, что «эксплуатация уязвимости не была зафиксирована». Проблема первоначально была выявлена Consensys Diligence — партнером Teku по безопасности.
Операторы, которые запускают Teku или Besu непосредственно на своих машинах без Docker, должны обновлять Java самостоятельно, поскольку обновление программного обеспечения Ethereum не затрагивает список доверенных сертификатов Java. Новые Docker-образы также не исправляют Java, установленную на хосте.
Однако у тех, кто всё ещё использует Java 26, будет сложнее исправить ситуацию. Teku сообщил, что эта версия больше не поддерживается и не получит исправленную сборку, поэтому этим операторам необходимо перейти на Java 25.