Помилка в криптографії на індійській сертифікаційній компанії потрапила до Ethereum, де вона могла дозволити атакуючим тихо пересилати блокові винагороди деяких валідаторів собі.
Teku, програмне забезпечення, яке багато валідаторів використовують для запуску стейк-сторінки Ethereum, випустило версію 26.10.3 у вівторок. Besu, який обробляє транзакції Ethereum, випустило версію 26.10.2 у понеділок. Обидва оновлення припиняють довіру до сертифікатів, пов’язаних з eMudhra, індійським центром сертифікації, у своїх Docker-образах — попередньо зібраних версіях, які багато операторів використовують.
Валідатори — це комп’ютери, які стейкають ETH для забезпечення безпеки ethereum та отримання комісій за пропонування блоків. Деякі з них спілкуються з іншими сервісами через інтернет і залежать від цифрових сертифікатів, щоб переконатися, що спілкуються з правильним.
17 жовтня дослідники виявили, що приватні ключі восьми проміжних центрів сертифікації eMudhra були згенеровані з надто малою випадковістю.
Це означало, що ключі можна було визначити з самих сертифікатів, які є публічними. Будь-хто, хто мав ці ключі, міг видавати сертифікати, які незапatchена програма приймала б як справжні. Браузери заблокували ці сертифікати, eMudhra скасувала їх через день, і компанія згодом заявила, що вийде з бізнесу сертифікатів.
Дізнатися більше: Компанія, яка гарантює веб-сайти, мала настільки слабкі секретні ключі, що 8 з них було зламано
Java, мова програмування, на якій працюють Teku та Besu, за замовчуванням не перевіряє, чи було скасовано сертифікат. Тому образи Docker Teku продовжували довіряти поганим сертифікатам навіть після того, як браузери їх відкинули.
Зловмисник, що знаходиться між валідатором і сервісом, до якого він підключений, може видавати себе за цей сервіс. У своєму попередженні щодо безпеки Teku зазначила, що валідатор, обманутий таким чином, може запропонувати блок, у якому комісії сплачуються на адресу зловмисника.
Фальшивий зовнішній підписувач — окрема служба, що зберігає ключі валідатора — може передати підписи, використані для зміни місця, куди надходять винагороди, що Teku вважав найбільш ризикованим налаштуванням.
«За замовчуванням нода Teku на мейннеті не постраждала і не вимагає дій», — написав команд, додавши, що «випадків експлуатації не повідомлялося». Безпековий партнер Teku — Consensys Diligence — спочатку виявив проблему.
Оператори, які запускають Teku або Besu безпосередньо на своїх пристроях, а не через Docker, повинні оновлювати Java власноруч, оскільки оновлення програмного забезпечення ethereum не впливає на список довірених сертифікатів Java. Нові Docker-образи також не виправляють Java, встановлену на хості.
Тим, хто ще використовує Java 26, буде складніше виправити це. Teku повідомив, що ця версія більше не підтримується і не отримає виправленої збірки, тому цим операторам потрібно перейти на Java 25.