ChainCatcher повідомляє, що криптографічна уразливість індійського центру сертифікації eMudhra вплинула на клієнти Ethereum Teku та Besu. Дослідники виявили, що приватні ключі восьми проміжних центрів сертифікації під еMudhra можуть бути обчислені через недостатню випадковість, що дозволяє зловмисникам підробляти сертифікати та вводити незаправлене програмне забезпечення в оману, змушуючи його довіряти зловмисним сервісам. Teku випустив версію 26.1.3, а Besu — версію 26.1.2, в яких видалено довіру до відповідних сертифікатів у Docker-образах. Якщо зловмисник проведе атаку «людина посередині», він може ввести в оману деяких верифікаторів, змусивши їх надсилати нагороди за комісії за блоки на адресу зловмисника; у певних конфігураціях з використанням зовнішнього підписувача ризик може бути вищим. Команда Teku заявила, що вузли Teku за замовчуванням на основній мережі Ethereum не піддаються впливу, і дій не потрібно — наразі немає повідомлень про використання цієї уразливості. Для операторів, які запускають Teku або Besu безпосередньо на хост-системах, а не через Docker, оновлення клієнта може бути недостатнім — потрібно вручну оновити Java та список довірених сертифікатів. Оператори, які ще використовують припинену підтримку Java 26, повинні перейти на Java 25.
Клієнти Ethereum випустили оновлення безпеки для виправлення вразливості сертифіката eMudhra
ChaincatcherПоділитися
Короткий зміст
Клієнти Ethereum Teku та Besu випустили оновлення безпеки для виправлення вразливості, пов’язаної з центром сертифікації eMudhra. Дослідники виявили, що вісім проміжних ЦС під eMudhra мали слабку випадковість під час генерації приватних ключів, що створює ризик потенційного порушення безпеки. Ця недолік може дозволити зловмисникам підробляти сертифікати та проводити атаки «людина посередині». Teku 26.1.3 та Besu 26.1.2 тепер не довіряють впливовим сертифікатам у Docker-образах. Ноди, що використовують зовнішні підписувачі, перебувають під вищим ризиком. Teku зазначає, що стандартні ноди мейннету не постраждали, і жодних експлойтів не спостерігалося. Операторам, що використовують не-Docker-конфігурації, слід вручну оновити Java та свій список сертифікатів. Користувачам на Java 26 рекомендується перейти на Java 25.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.