ChainCatcher сообщает, что криптографическая уязвимость индийского центра сертификации eMudhra затронула клиенты Ethereum Teku и Besu. Исследователи обнаружили, что закрытые ключи восьми промежуточных центров сертификации, принадлежащих eMudhra, могут быть вычислены из-за недостаточной случайности, что позволяет злоумышленникам подделывать сертификаты и обманывать незащищённое программное обеспечение, заставляя его доверять вредоносным сервисам. Teku выпустил версию 26.1.3, Besu — версию 26.1.2, в которых удалена доверенная привязка к соответствующим сертификатам в Docker-образах. Если злоумышленник проведёт атаку «человек посередине», он может обмануть часть валидаторов, заставив их отправлять вознаграждения за комиссию за блоки на адрес атакующего; в определённых конфигурациях с использованием внешних подписывающих устройств риск может быть выше. Команда Teku заявила, что узлы Teku для основной сети Ethereum по умолчанию не затронуты, и никаких действий предпринимать не требуется; на данный момент не поступало сообщений о использовании уязвимости. Для операторов, запускающих Teku или Besu непосредственно на хосте без использования Docker, одного обновления клиента может быть недостаточно — необходимо вручную обновить Java и список доверенных сертификатов. Операторы, использующие уже не поддерживаемую версию Java 26, должны перейти на Java 25.
Клиенты Ethereum выпускают обновление безопасности для устранения уязвимости сертификата eMudhra
ChaincatcherПоделиться
Сводка
Клиенты Ethereum Teku и Besu выпустили обновления безопасности для устранения уязвимости, связанной с центром сертификации eMudhra. Исследователи обнаружили, что восемь промежуточных ЦС под eMudhra использовали слабую случайность при генерации закрытых ключей, что создавало потенциальный риск нарушения безопасности. Эта уязвимость могла позволить злоумышленникам подделывать сертификаты и проводить атаки «человек посередине». Teku 26.1.3 и Besu 26.1.2 теперь не доверяют затронутым сертификатам в Docker-образах. Ноды, использующие внешние подписчики, находятся под повышенным риском. Teku сообщает, что стандартные ноды мейннета не затронуты, и никаких эксплуатаций не зафиксировано. Администраторам, использующим ненативные Docker-установки, рекомендуется вручную обновить Java и свой список сертификатов. Пользователям на Java 26 рекомендуется перейти на Java 25.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.