TL;DR
- Teku 26.10.3 اور Besu 26.10.2 نے مُ compromise ہونے والے انٹرمیڈیٹ کلوز کی وجہ سے eMudhra سے منسلک سرٹیفیکیٹ رُوٹس کے لیے اعتماد ختم کر دیا ہے، جس سے کچھ HTTPS بنیادی ویلیڈیٹر کانفگریشنز کو نقلی بنانے کا خطرہ ہو گیا۔
- ڈیفالٹ Teku مین نیٹ نوڈز متاثر نہیں ہوئے، اور کوئی استعمال کیا جانے کی رپورٹ نہیں ہوئی، جبکہ خطرہ اس بات پر منحصر تھا کہ ویلیڈیٹرز HTTPS کے ذریعے باہری سروسز سے جڑ رہے تھے۔
- ڈاکر صارفین کو کلائنٹ امیجز کو اپ ڈیٹ کرنا چاہیے، جبکہ الگ الگ آپریٹرز کو جاوا کو الگ سے پیچ کرنا ہوگا؛ جاوا 26 صارفین کو سپورٹ شدہ جاوا 25 بِلڈز پر منتقل ہونا ہوگا۔
ٹیکو اور بیسو نے م compromised eMudhra سرٹیفیکٹ اتھارٹی کی کلیدوں کے باعث ethereum نوڈ کانفیگریشنز کو جعلی HTTPS کنکشنز کے لیے exposed ہونے کے بعد سیکیورٹی اپڈیٹس جاری کیں۔ ٹیکو کے ریلیز نوٹس 26.10.3 ورژن کی تجویز کرتے ہیں، جو ڈاکر امیجز سے چار متاثرہ سرٹیفیکٹ رُوٹس کے لیے ٹرس کو ختم کرتا ہے، جبکہ بیسو نے ورژن 26.10.2 جاری کیا۔ یہ اپڈیٹس ethereum کے کنسینس قواعد میں کسی خامی کے بجائے سافٹ ویئر توزیع کے لیول پر سرٹیفیکٹ ٹرس کو حل کرتے ہیں۔ ڈیفالٹ ٹیکو مین نیٹ نوڈز متاثر نہیں ہوئے، جس سے واقعہ Ethereum پروٹوکول میں خامیوں سے الگ رہا۔
مُ compromising سرٹیفیکیٹ کی کلیدوں نے نقلی بنانے کا خطرہ پیدا کر دیا
محققین نے پایا کہ آٹھ eMudhra درمیانی سرٹیفیکیٹ اتھارٹیز کے پرائیویٹ کلیدز کو بے حد کم تصادفی طریقے سے جنریٹ کیا گیا تھا، جس کی وجہ سے انہیں واپس حاصل کیا جا سکا۔ حالانکہ سرٹیفیکیٹس کو منسوخ کر دیا گیا تھا، لیکن جاوا ڈیفالٹ طور پر منسوخی کی جانچ نہیں کرتا، جس کی وجہ سے رن ٹائمز جعلی سرٹیفیکیٹس قبول کرنے کے قابل ہو جاتے ہیں۔ اس طرح، ایک حملہ آور جو ایک نوڈ اور این اچ ایس سروس کے درمیان واقع ہو، تو زائدوں کنفگریشن میں اس اینڈ پوائنٹ کا دعویٰ کر سکتا ہے۔ یہ واقعہ یہ تصدیق کرتا ہے کہ Ethereum client diversity and operational security صرف اConsensus کوڈ تک محدود نہیں ہے۔
سب سے زیادہ خطرناک صورتحالوں میں ویلیڈیٹرز HTTPS کے ذریعے باہری خدمات سے جُڑتے تھے۔ ایک جعلی اینڈ پوائنٹ بلاک بنانے کی معلومات کو تبدیل، فیس وصول کرنے والوں کو دوبارہ ہدایت، یا ایک نقلی باہری سائنر کے ذریعے دستخط حاصل کر سکتا تھا۔ ٹیکو نے کہا کہ حملہ آور ایک ریموٹ بیکن نوڈ استعمال کرنے والے ویلیڈیٹر کلائنٹ کو اپنے ایڈریس پر فیس ادا کرنے والا بلاک پیش کرنے کا باعث بنا سکتا ہے۔ خطرہ نیٹ ورک کی پوزیشن اور ریموٹ سروس کانفگریشنوں پر منحصر تھا، صرف ٹیکو یا بیسو چلانے پر نہیں۔ کوئی استعمال کیا گیا نہیں ہے۔
Teku 26.10.3 Docker ایمیجز میں emSign ECC Root CA G3، emSign Root CA G1، emSign Root CA G2 اور AAA Certificate Services کے لیے اعتماد کو ختم کر دیتا ہے۔ Besu کا اپڈیٹ اسی طریقہ کو لاگو کرتا ہے۔ جو آپریٹرز براہ راست بائنریز چلا رہے ہیں، انہیں جاوا کو الگ سے اپڈیٹ کرنا ہوگا کیونکہ کلائنٹ اپگریڈز میزبان رن ٹائم کے سرٹیفکیٹ اسٹور کو تبدیل نہیں کرتے۔ اس لیے ڈاکر اور سٹینڈ الون ڈیپلومنٹس کے لیے مختلف ازالہ کے راستے درکار ہیں۔ Ethereum validator infrastructure incidents کے بعد یہ فرق اہم ہو جاتا ہے جس نے دکھایا کہ آف پروٹوکول انحصارسٹیکنگ آپریشنز کو کیسے متاثر کر سکتے ہیں۔
جاوا 26 ایک پیچیدگی پیدا کرتا ہے کیونکہ اس کا مختتم ہونے کا وقت ہو چکا ہے اور اسے درکار پیچھڈ بیلڈ نہیں ملے گا، جس کا مطلب ہے کہ متاثرہ آپریٹرز کو جاوا 25 پر منتقل ہونا ہوگا۔ پیئر-ٹو-پیئر ethereum نیٹ ورکنگ کو اس لیے نہیں ظاہر کیا گیا کیونکہ یہ ان سرٹیفیکیٹ اتھارٹیز پر منحصر نہیں ہے۔ اس اصلاحات سے تھرڈ پارٹی ٹرسٹ اسٹور کا خطرہ کم ہوتا ہے لیکن یہ زندہ مین نیٹ کے استعمال کو درست نہیں کرتا یا ethereum کے پروٹوکول میں تبدیلی نہیں کرتا۔ یہ واقعہ دیگر سیکورٹی کاموں، جن میں Glamsterdam ڈپازٹ راؤٹنگ درستگی بھی شامل ہے، کے بعد آیا، جو یہ ظاہر کرتا ہے کہ ویلیدیٹر کی سلامتی پروٹوکول کوڈ اور سپورٹنگ انفراسٹرکچر پر منحصر ہے۔