Bir Hint sertifika şirketindeki bir kriptografi hatası, Ethereum'a girmiş ve saldırganların bazı doğrulayıcıların blok ödüllerini kendilerine sessizce göndermesine izin verebilirdi.
Teku, Ethereum'in kanıt-temelli stake tarafını çalıştırmak için birçok doğrulayıcının kullandığı yazılım, Salı günü 26.10.3 sürümünü yayınladı. Ethereum işlemlerini işleyen Besu, Pazartesi günü 26.10.2 sürümünü yayınladı. Her iki güncelleme de, birçok operatörün çalıştırdığı önceden paketlenmiş Docker görüntülerinde eMudhra adlı bir Hint sertifika otoritesiyle ilişkili sertifikalara güvenmeyi durduruyor.
Doğrulayıcılar, Ethereum'u güvence altına almak ve blok önermek için ETH stake eden bilgisayarlardır. Bunların bazıları, internet üzerinden diğer hizmetlerle iletişim kurar ve doğru hizmetle iletişim kurduğundan emin olmak için dijital sertifikalara güvenir.
17 Ekim'de araştırmacılar, eMudhra'nın sekiz ara sertifika yetkilisinin özel anahtarlarının yeterince rastgele oluşturulmadığını tespit etti.
Bu, anahtarların kendileri kamuoyuna açık olan sertifikalardan çıkarılabileceği anlamına geliyordu. Bu anahtarlara sahip olan herkes, düzeltilmemiş yazılımların gerçek olarak kabul edeceği sertifikalar çıkarabilirdi. Tarayıcılar bu sertifikaları engelledi, eMudhra bir gün sonra bunları iptal etti ve şirket bundan sonra sertifika işinden çekileceğini açıkladı.
Daha fazlasını okuyun: Bir web sitesini garanti eden bir şirketin gizli anahtarları o kadar zayıftı ki, 8 tanesi kırıldı
Java, Teku ve Besu'nun çalıştığı programlama dili, varsayılan olarak bir sertifikanın iptal edilip edilmediğini kontrol etmez. Bu nedenle Teku'nun Docker görüntüsü, tarayıcıların onları bırakmasından sonra bile kötü sertifikalara güvenmeye devam etti.
Bir doğrulayıcı ile bağlandığı hizmet arasında yer alan bir saldırgan, o hizmeti taklit edebilir. güvenlik uyarısı'nda Teku, bu şekilde kandırılan bir doğrulayıcının ücretleri saldırganın adresine ödeyen bir blok önermesi olabileceğini belirtti.
Sahte harici bir imzalayıcı, doğrulayıcının anahtarlarını tutan ayrı bir hizmet, ödüllerin nereye gideceğini değiştirmek için kullanılan imzaları verebilir ve Teku bunu en riskli yapı olarak sıraladı.
Takım, "Ana ağda varsayılan bir Teku node etkilenmemektedir ve herhangi bir eyleme gerek yoktur" dedi ve "herhangi bir istismar rapor edilmemiştir" ekledi. Consensys Diligence, Teku'nun güvenlik ortağı, sorunu ilk olarak işaretlemişti.
Docker kullanmadan doğrudan makinelerinde Teku veya Besu çalıştıran operatörler, Ethereum yazılımını güncellemek Java'nın güvenilen sertifikalar listesini etkilemediği için Java'yı kendileri güncellemek zorundadır. Yeni Docker görüntüleri de ana makinede kurulu Java'yı düzeltmez.
Ancak hâlâ Java 26 kullananlar için daha zor bir çözüm var. Teku, bu sürümün yaşam döngüsünün sona erdiğini ve düzeltilmiş bir derleme almayacağını belirtti; bu nedenle bu operatörlerin Java 25'e geçmesi gerekiyor.