Actualización de seguridad de clientes de Ethereum corrige vulnerabilidad de certificados de eMudhra; nodos principales de la red no se ven afectados

La vulnerabilidad de seguridad criptográfica de la autoridad de certificación india eMudhra afecta a los clientes de Ethereum Teku y Besu. Los investigadores descubrieron que las claves privadas de 8 autoridades de certificación intermedias de eMudhra podrían deducirse debido a una aleatoriedad insuficiente, lo que permitiría a los atacantes falsificar certificados y engañar al software sin parchear para que confíe en servicios maliciosos. Teku ha publicado la versión 26.1.3 y Besu la versión 26.1.2, ambas han eliminado la confianza en los certificados relevantes de sus imágenes Docker. Si un atacante realiza un ataque de intermediario, podría engañar a algunos validadores para que envíen recompensas por tarifas de bloque a la dirección del atacante; el riesgo puede ser mayor en configuraciones específicas que utilizan firmantes externos. El equipo de Teku declaró que la configuración predeterminada del nodo Teku de la red principal de Ethereum no se ve afectada y no se requiere ninguna acción, y hasta ahora no se han reportado casos de explotación de la vulnerabilidad. Para los operadores que ejecutan Teku o Besu directamente en el host sin usar Docker, simplemente actualizar el cliente puede no ser suficiente; también deben actualizar manualmente Java y su lista de certificados de confianza. Los operadores que aún utilicen Java 26, que ya no recibe mantenimiento, deberán migrar a Java 25.