تک‌و و بزو پس از نقض گواهی‌نامه eMudhra به‌روزرسانی‌های امنیتی منتشر کردند

تک‌و و بزو، نرم‌افزارهای گره اتریوم، پس از نقض یک مرجع گواهی‌نامه در eMudhra به‌روزرسانی‌های امنیتی داکر را منتشر کردند. اپراتورهای تحت تأثیر می‌توانند کانتینرهای خود را به‌روزرسانی کنند، در حالی که نصب‌های باینری نیاز به بررسی جداگانه زمان اجرای جاوا دارند. تک‌و ۲۶.۱۰.۳، که در ۲۷ اکتبر منتشر شد، و بزو ۲۶.۱۰.۲، که در ۲۶ اکتبر منتشر شد، اعتماد به چهار ریشه گواهی‌نامه نقض‌شده را متوقف می‌کنند. میزان آسیب‌پذیری تک‌و به پیکربندی بستگی دارد؛ گره‌های پیش‌فرض شبکه اصلی بدون URLهای HTTPS تحت تأثیر قرار نمی‌گیرند. یک مهاجم برای بهره‌برداری از زمان اجرای بدون اصلاح، باید یک اتصال HTTPS را قطع کند، اما هیچ بهره‌برداری گزارش نشده است. این حادثه شامل کلیدهای خصوصی قابل بازیابی برای هشت مرجع گواهی‌نامه میانی emSign G3 بود، که eMudhra یک خطای اسکریپت را که کلیدهای ضعیف تولید کرده بود، تأیید کرد. این میانه‌ها پس از گزارش ۱۷ اکتبر باطل شدند. اپراتورها باید زمان‌های اجرای جاوای خود را بررسی کنند، زیرا مشاوره تک‌و بیان می‌کند که جاوا به‌طور پیش‌فرض باطل‌سازی را بررسی نمی‌کند. تصاویر داکر تک‌و تا ۲۶.۱۰.۲ ریشه نقض‌شده را حفظ می‌کنند و به‌روزرسانی جاوا در میزبان بر زمان اجرای آن کانتینرها تأثیری ندارد. بزو تغییر حذف ریشه خود را به تصاویر داکر محدود می‌کند، در حالی که کاربران tar/zip ممکن است هنوز یک JDK داشته باشند که به ریشه‌ها اعتماد می‌کند. وابستگی‌های HTTPS تک‌و شامل امضاکنندگان از راه دور و گره‌های بیکن است و یک زمان اجرای بدون اصلاح می‌تواند به مهاجمان اجازه دهد تا این خدمات را جعل کنند و ممکن است هزینه‌های پیشنهادی را منحرف کنند یا باعث از دست رفتن وظایف اعتبارسنجی شوند. احراز هویت مشتری TLS متقابل در امضاکننده تأثیر را به خدمات عدم دسترسی محدود می‌کند.