Kısa Özet
- Teku 26.10.3 ve Besu 26.10.2, güvenilirlikleri ihlal edilen ara sertifika anahtarları nedeniyle eMudhra ile ilişkili sertifika köklerini kaldırmıştır.
- Varsayılan Teku ana ağ düğümleri etkilenmedi ve herhangi bir istismar rapor edilmedi; risk, doğrulayıcıların HTTPS üzerinden dış hizmetlere bağlanmasıyla ilişkiliydi.
- Docker kullanıcıları istemci görüntülerini güncellemelidir; bağımsız operatörler ise Java'yı ayrı olarak güncellemelidir; Java 26 kullananlar, desteklenen Java 25 sürümlerine geçmelidir.
Teku ve Besu, kompromisya uğrayan eMudhra sertifika otoritesi anahtarları nedeniyle Ethereum node yapılandırmalarının sahte HTTPS bağlantılarına maruz kalması sonrasında güvenlik güncellemeleri yayınladı. Teku'nun sürüm notları, Docker görüntülerinden etkilenen dört sertifika kökünü güvenilirlikten çıkaran 26.10.3 sürümünü öneriyor, aynı zamanda Besu 26.10.2 sürümünü yayınladı. Güncellemeler, Ethereum'un konsensüs kurallarındaki bir hata yerine yazılım dağıtım katmanındaki sertifika güvenliğini ele alıyor. Varsayılan Teku ana ağ node'ları etkilenmedi ve olay, Ethereum protokolündeki zafiyetlerden ayrı tutuldu.
Kompromiz edilmiş sertifika anahtarları taklit riski yarattı
Araştırmacılar, sekiz eMudhra ara sertifika yetkilisinin özel anahtarlarının yetersiz rastgelelik nedeniyle geri kazanılabileceğini tespit etti. Sertifikalar iptal edilse de, Java varsayılan olarak iptali kontrol etmez ve çalışma zamanlarının sahte sertifikaları kabul etmesine izin verir. Bu nedenle, bir node ile HTTPS hizmeti arasında bulunan bir saldırgan, hassas yapılandırmalarda bu uç noktayı taklit edebilir. Bu olay, Ethereum istemci çeşitliliği ve operasyonel güvenlik'nin uzlaşım kodunun ötesine nasıl yayıldığını teyit eder.
En yüksek riskli senaryolar, doğrulayıcıların HTTPS üzerinden dış hizmetlere bağlanmasıyla ilgiliydi. Sahte bir uç nokta, blok oluşturma bilgilerini manipüle edebilir, ücret alıcılarını yönlendirebilir veya sahte bir dış imzalayıcı aracılığıyla imzalar elde edebilirdi. Teku, uzak bir beacon node kullanan bir doğrulayıcı istemcisinin, ücretleri saldırganın adresine ödeyen bir blok önermesine neden olabileceğini söyledi. Risk, Teku veya Besu çalıştırmaya değil, ağ pozisyonuna ve uzak-hizmet yapılandırmalarına bağlıydı. Hiçbir istismar rapor edilmemiştir.
Teku 26.10.3, Docker görüntülerinde emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 ve AAA Sertifika Hizmetleri için güveni kaldırır. Besu'nun güncellemesi aynı yaklaşımı uygular. Doğrudan ikili dosyaları çalıştıran operatörler, istemci güncellemelerinin ana sistem çalışma zamanının sertifika deposunu değiştirmemesi nedeniyle Java'yı ayrı olarak güncellemelidir. Bu nedenle Docker ve bağımsız dağıtımlar için farklı düzeltme yolları gereklidir. Bu ayrım, Ethereum doğrulayıcı altyapı olayları sonrası protokol dışı bağımlılıkların staking işlemlerini nasıl etkileyebileceğini gösterdiğinden önemlidir.
Java 26, yaşam döngüsünün sonuna ulaşmış olmasından dolayı gerekli düzeltmeli derlemeleri almayacak ve etkilenen operatörlerin Java 25'e geçmesi gerekecek. Noktadan noktaya ethereum ağı, bu sertifika yetkililerine bağlı olmadığından açığa çıkarılmadı. Düzeltmeler, üçüncü taraf bir güven deposu riskini azaltır ancak canlı ana ağ exploiti onarmaz veya ethereum protokolünü değiştirmez. Bu olay, Glamsterdam yatırma rota düzeltmesi gibi diğer güvenlik çalışmalarını takip eder ve doğrulayıcı güvenliğinin protokol koduna ve destekleyici altyapıya bağlı olduğunu vurgular.