Клиенты Ethereum выпустили обновление безопасности: устранена уязвимость сертификатов eMudhra, узлы основной сети по умолчанию не затронуты

Криптографическая уязвимость индийского удостоверяющего центра eMudhra затрагивает клиенты Ethereum Teku и Besu. Исследователи обнаружили, что закрытые ключи 8 промежуточных удостоверяющих центров eMudhra потенциально можно вычислить из-за недостаточной случайности, что позволяет злоумышленникам подделывать сертификаты и заставлять необновлённое программное обеспечение доверять вредоносным сервисам. Teku выпустил версию 26.1.3, а Besu — версию 26.1.2, в обеих из Docker-образов удалено доверие к соответствующим сертификатам. Если злоумышленник осуществит атаку «человек посередине», он может заставить некоторых валидаторов отправлять вознаграждения за блоки на адрес атакующего; риск может быть выше при определённых конфигурациях с использованием внешних подписывающих устройств. Команда Teku заявила, что конфигурация по умолчанию узла Teku в основной сети Ethereum не затронута и никаких действий не требуется; сообщений об эксплуатации уязвимости на данный момент не поступало. Операторам, запускающим Teku или Besu напрямую на хосте без использования Docker, простого обновления клиента может быть недостаточно; им также необходимо вручную обновить Java и его список доверенных сертификатов. Операторам, всё ещё использующим больше не поддерживаемую Java 26, потребуется перейти на Java 25.