Ethereum istemcilerinden güvenlik güncellemesi: eMudhra sertifika açığı giderildi, varsayılan ana ağ düğümleri etkilenmedi

Hindistan merkezli sertifika otoritesi eMudhra'nın kriptografik güvenlik açığı, Ethereum istemcileri Teku ve Besu'yu etkiliyor. Araştırmacılar, eMudhra bünyesindeki 8 ara sertifika otoritesinin özel anahtarlarının yetersiz rastgelelik nedeniyle potansiyel olarak türetilebileceğini, bunun da saldırganların sertifika sahteleyerek yamalanmamış yazılımları kötü amaçlı hizmetlere güvenmeye yönlendirebileceğini tespit etti. Teku 26.1.3 sürümünü, Besu ise 26.1.2 sürümünü yayımladı; her iki sürümde de ilgili sertifikalara duyulan güven Docker imajlarından kaldırıldı. Bir saldırgan ortadaki adam saldırısı gerçekleştirirse, bazı doğrulayıcıları blok ücreti ödüllerini saldırganın adresine göndermeye yönlendirebilir; harici imzalayıcıların kullanıldığı belirli yapılandırmalarda risk daha yüksek olabilir. Teku ekibi, Ethereum ana ağındaki Teku düğümünün varsayılan yapılandırmasının etkilenmediğini ve herhangi bir işlem yapılmasına gerek olmadığını, açığın şu ana kadar istismar edildiğine dair bir rapor bulunmadığını açıkladı. Teku veya Besu'yu Docker kullanmadan doğrudan ana makinede çalıştıran operatörler için yalnızca istemciyi güncellemek yeterli olmayabilir; Java'yı ve güvenilen sertifika listesini de manuel olarak güncellemeleri gerekir. Artık bakımı sürdürülmeyen Java 26'yı kullanmaya devam eden operatörlerin Java 25'e geçmesi gerekecek.