ไคลเอนต์ Ethereum ออกอัปเดตความปลอดภัย แก้ช่องโหว่ใบรับรอง eMudhra โหนดเมนเน็ตเริ่มต้นไม่ได้รับผลกระทบ

ช่องโหว่ความปลอดภัยทางคริปโตของหน่วยงานออกใบรับรองจากอินเดีย eMudhra ส่งผลกระทบต่อไคลเอนต์ Ethereum คือ Teku และ Besu นักวิจัยพบว่าคีย์ส่วนตัวของหน่วยงานออกใบรับรองระดับกลาง 8 แห่งภายใต้ eMudhra อาจถูกอนุมานได้เนื่องจากความสุ่มไม่เพียงพอ ทำให้ผู้โจมตีสามารถปลอมแปลงใบรับรองและหลอกซอฟต์แวร์ที่ยังไม่ได้แพตช์ให้เชื่อถือบริการที่เป็นอันตรายTeku ได้ออกเวอร์ชัน 26.1.3 และ Besu ได้ออกเวอร์ชัน 26.1.2 ซึ่งทั้งสองได้ลบความเชื่อถือในใบรับรองที่เกี่ยวข้องออกจากอิมเมจ Docker ของตน หากผู้โจมตีดำเนินการโจมตีแบบแทรกกลาง (man-in-the-middle) พวกเขาอาจหลอกผู้ตรวจสอบความถูกต้อง (validator) บางรายให้ส่งรางวัลค่าธรรมเนียมบล็อกไปยังที่อยู่ของผู้โจมตี ความเสี่ยงอาจสูงขึ้นภายใต้การกำหนดค่าเฉพาะที่ใช้ตัวลงนามภายนอก ทีม Teku ระบุว่าการกำหนดค่าเริ่มต้นของโหนด Teku บนเมนเน็ต Ethereum ไม่ได้รับผลกระทบและไม่จำเป็นต้องดำเนินการใดๆ โดยจนถึงขณะนี้ยังไม่มีรายงานการถูกใช้ประโยชน์จากช่องโหว่ดังกล่าวสำหรับผู้ปฏิบัติงานที่รัน Teku หรือ Besu โดยตรงบนโฮสต์โดยไม่ใช้ Docker การอัปเดตไคลเอนต์เพียงอย่างเดียวอาจไม่เพียงพอ พวกเขายังจำเป็นต้องอัปเดต Java และรายการใบรับรองที่เชื่อถือได้ด้วยตนเอง ผู้ปฏิบัติงานที่ยังใช้ Java 26 ซึ่งไม่ได้รับการดูแลแล้วจะต้องย้ายไปใช้ Java 25