Các khách hàng Ethereum phát hành bản cập nhật bảo mật để khắc phục lỗ hổng chứng chỉ eMudhra

ChainCatcher báo cáo, lỗ hổng bảo mật mã hóa của tổ chức cấp chứng chỉ Ấn Độ eMudhra đã ảnh hưởng đến các client Ethereum Teku và Besu. Các nhà nghiên cứu phát hiện rằng khóa riêng của 8 cơ quan cấp chứng chỉ trung gian thuộc eMudhra có thể bị suy luận do tính ngẫu nhiên không đủ, cho phép kẻ tấn công giả mạo chứng chỉ và lừa các phần mềm chưa được vá tin tưởng các dịch vụ độc hại. Teku đã phát hành phiên bản 26.1.3, Besu đã phát hành phiên bản 26.1.2, cả hai đều loại bỏ niềm tin đối với các chứng chỉ liên quan trong hình ảnh Docker. Nếu kẻ tấn công thực hiện cuộc tấn công man-in-the-middle, chúng có thể lừa một số người xác thực gửi phần thưởng phí khối đến địa chỉ của kẻ tấn công; trong các cấu hình cụ thể sử dụng external signer, rủi ro có thể cao hơn. Nhóm Teku cho biết các nút Teku trên mạng chính Ethereum với cấu hình mặc định không bị ảnh hưởng và không cần hành động gì; hiện chưa có báo cáo nào về việc lỗ hổng này bị khai thác. Đối với những người vận hành chạy Teku hoặc Besu trực tiếp trên máy chủ mà không dùng Docker, việc chỉ cập nhật client có thể không đủ, họ còn phải cập nhật thủ công Java và danh sách chứng chỉ được tin cậy của nó. Những người vẫn sử dụng Java 26 đã ngừng hỗ trợ cần chuyển sang Java 25.