นักพัฒนาลูกค้า Ethereum แก้ไขช่องโหว่ที่อาจเปลี่ยนเส้นทางรางวัล ETH

นักพัฒนาลูกค้า Ethereum Teku และ Besu ได้ปล่อยการอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ของใบรับรองที่อาจอนุญาตให้ผู้โจมตีปลอมแปลงบริการที่ใช้โดยผู้ตรวจสอบและอาจเปลี่ยนเส้นทางรางวัลบล็อกของพวกเขาได้。

สรุป

• ลูกค้า Ethereum Teku และ Besu ได้ปล่อยการอัปเดตด้านความปลอดภัยหลังจากพบช่องโหว่ของใบรับรองที่อาจอนุญาตให้ผู้โจมตีเปลี่ยนเส้นทางรางวัลบล็อกของผู้ตรวจสอบไปยังที่อยู่ของตนเอง
• ช่องโหว่เกิดจากคีย์การเข้ารหัสที่อ่อนแอซึ่งเกี่ยวข้องกับหน่วยงานรับรองใบรับรองแปดแห่งที่ดำเนินการโดยบริษัทอินเดีย eMudhra ซึ่งอาจอนุญาตให้ผู้โจมตีสร้างใบรับรองปลอม
• Teku เตือนว่าผู้โจมตีอาจปลอมแปลงบริการภายนอกที่ใช้โดยผู้ตรวจสอบ Ethereum และจัดการข้อเสนอของบล็อกหรือได้รับลายเซ็นที่ละเอียดอ่อนของผู้ตรวจสอบภายใต้การกำหนดค่าบางอย่าง
• การกำหนดค่าเริ่มต้นของ Teku mainnet ไม่ได้รับผลกระทบ และนักพัฒนายืนยันว่าไม่มีการรายงานการใช้ประโยชน์จากช่องโหว่นี้
• ผู้ดำเนินการที่ใช้การติดตั้ง Teku หรือ Besu แบบสแตนด์อโลนต้องอัปเดตสภาพแวดล้อม Java ของตนแยกต่างหาก เนื่องจากการแก้ไขล่าสุดในภาพ Docker ไม่ได้อัปเดตใบรับรอง Java ที่ติดตั้งในเครื่องโดยอัตโนมัติ

ตามคำแนะนำด้านความปลอดภัยที่มาพร้อมกับการปล่อย ช่องโหว่เกิดจากคีย์ของหน่วยงานรับรองที่ถูกบุกรุกซึ่งเป็นของผู้ให้บริการใบรับรองดิจิทัลของอินเดีย eMudhra ซึ่งทำให้การกำหนดค่าของโหนด Ethereum บางส่วนถูกเปิดเผยต่อการเชื่อมต่อ HTTPS ที่ปลอมแปลง

Teku ได้ปล่อยเวอร์ชัน 26.10.3 ในวันที่ 27 ตุลาคม ขณะที่ Besu แนะนำเวอร์ชัน 26.10.2 หนึ่งวันก่อนหน้านั้น การอัปเดตทั้งสองนี้ได้ลบความเชื่อถือสำหรับใบรับรอง eMudhra ที่ได้รับผลกระทบจากภาพ Docker ของพวกเขาซึ่งผู้ดำเนินการใช้ในการติดตั้งและเรียกใช้ซอฟต์แวร์โหนด Ethereum

ช่องโหว่อาจส่งผลกระทบต่อผู้ตรวจสอบที่พึ่งพาบริการภายนอกในการลงนามธุรกรรม การสื่อสารกับโหนด beacon หรือการรับข้อมูลการสร้างบล็อก ผู้โจมตีจะต้องดักจับการเชื่อมต่อที่ได้รับผลกระทบและนำเสนอใบรับรองปลอมที่ซอฟต์แวร์ของผู้ตรวจสอบยอมรับว่าเป็นของแท้

นักพัฒนาของ Teku ยืนยันว่าการกำหนดค่าเริ่มต้นของ mainnet ไม่ได้รับผลกระทบและกล่าวว่าไม่มีการรายงานการใช้ประโยชน์จากช่องโหว่นี้

ช่องโหว่ด้านความปลอดภัยของ Ethereum ถูกติดตามไปยังใบรับรอง eMudhra ที่ถูกบุกรุก

ปัญหาด้านความปลอดภัยเริ่มต้นจากข้อผิดพลาดในการเข้ารหัสที่เกี่ยวข้องกับหน่วยงานรับรองใบรับรองกลางแปดแห่งที่ดำเนินการโดย eMudhra ซึ่งพบว่าคีย์ส่วนตัวถูกสร้างขึ้นโดยใช้ความสุ่มที่ไม่เพียงพอ

นักวิจัยได้ระบุปัญหานี้เมื่อวันที่ 17 ตุลาคม โดยค้นพบว่าคีย์ส่วนตัวสามารถถูกกู้คืนทางคณิตศาสตร์จากข้อมูลที่มีอยู่ในใบรับรองสาธารณะ

ตามคำแนะนำด้านความปลอดภัยจาก Microsoft เมื่อวันที่ 26 ตุลาคม ใบรับรองที่ได้รับผลกระทบหกใบถูกใช้เพื่อรักษาความปลอดภัยการเชื่อมต่ออินเทอร์เน็ต ขณะที่อีกสองใบที่เหลือเกี่ยวข้องกับการลงนามโค้ด

คีย์ที่ถูกบุกรุกอาจอนุญาตให้ใครบางคนสร้างใบรับรองที่ดูเหมือนแท้จริงสำหรับแอปพลิเคชันที่ยังคงเชื่อถือหน่วยงานรับรองที่ได้รับผลกระทบ

eMudhra ได้เพิกถอนใบรับรองกลางที่ได้รับผลกระทบเมื่อวันที่ 18 ตุลาคม ขณะที่ผู้ให้บริการเทคโนโลยีเริ่มลบความเชื่อถือสำหรับสายใบรับรองที่ถูกบุกรุกจากซอฟต์แวร์ของตน

Microsoft ได้บล็อกหน่วยงานรับรองที่ได้รับผลกระทบผ่านการอัปเดตด้านความปลอดภัยของ Windows ในวันที่ 20 ตุลาคม และปล่อยการอัปเดตอีกครั้งในวันที่ 26 ตุลาคมเพื่อลบใบรับรองที่เกี่ยวข้องเจ็ดใบจากรายการที่เชื่อถือได้ของตน

อย่างไรก็ตาม ปัญหายังคงเกี่ยวข้องกับ Ethereum เนื่องจาก Teku และ Besu ใช้ Java ซึ่งการตรวจสอบใบรับรองไม่ตรวจสอบสถานะการเพิกถอนตามค่าเริ่มต้น

ดังนั้น การติดตั้ง Java ที่ได้รับผลกระทบอาจยังคงยอมรับใบรับรองที่เกี่ยวข้องกับหน่วยงานที่ถูกบุกรุกแม้หลังจากการเพิกถอนของพวกเขา

วิธีที่ผู้โจมตีสามารถเปลี่ยนเส้นทางรางวัลของผู้ตรวจสอบ Ethereum

คำแนะนำด้านความปลอดภัยของ Teku ระบุหลายสถานการณ์การโจมตีที่เป็นไปได้ซึ่งเกี่ยวข้องกับผู้ตรวจสอบที่สื่อสารกับบริการภายนอกผ่านการเชื่อมต่อ HTTPS

หนึ่งในสถานการณ์เกี่ยวข้องกับผู้โจมตีที่ปลอมตัวเป็นโหนดสัญญาณระยะไกลที่ใช้โดยผู้ตรวจสอบเพื่อประสานงานหน้าที่ของตนบน Ethereum

หากผู้โจมตีสามารถดักจับการเชื่อมต่อและนำเสนอใบรับรองปลอมได้ ผู้ตรวจสอบอาจได้รับข้อมูลที่ถูกดัดแปลงเกี่ยวกับบล็อกที่เขากำลังเตรียมเสนอ

ตามที่ Teku ระบุ การโจมตีดังกล่าวอาจทำให้ผู้ตรวจสอบเสนอบล็อกที่ชี้ไปยังค่าธรรมเนียมการทำธุรกรรมที่ถูกควบคุมโดยผู้โจมตี

คำแนะนำได้ระบุบริการลงนามภายนอกว่าเป็นส่วนประกอบที่อาจถูกเปิดเผยอีกส่วนหนึ่ง บริการเหล่านี้ถือกุญแจการลงนามของผู้ตรวจสอบแยกจากซอฟต์แวร์โหนดหลักและให้ลายเซ็นเมื่อมีการร้องขอ

ผู้โจมตีที่ปลอมตัวเป็นผู้ลงนามภายนอกอาจได้รับลายเซ็นที่เกี่ยวข้องกับการออกจากผู้ตรวจสอบ ขึ้นอยู่กับการตั้งค่าและการป้องกันที่มีอยู่

Teku ได้จัดประเภทสถานการณ์นี้ว่าเป็นเรื่องที่ร้ายแรงเป็นพิเศษ แม้ว่าการตั้งค่าที่ใช้การตรวจสอบความถูกต้องแบบ TLS แบบคู่จะสามารถจำกัดผลกระทบให้เหลือเพียงการปฏิเสธบริการ

การเชื่อมต่ออื่น ๆ ที่อาจได้รับผลกระทบ ได้แก่ ลูกค้าการดำเนินการ ผู้สร้างบล็อก การส่งต่อ และบริการที่ใช้เพื่อดึงข้อมูลการตั้งค่าผู้ตรวจสอบ

ช่องโหว่นี้ไม่ได้ส่งผลกระทบต่อโปรโตคอลเครือข่ายเพียร์ทูเพียร์พื้นฐานของ Ethereum ซึ่งไม่พึ่งพาใบรับรองที่ถูกโจมตี

Teku และ Besu ปล่อยการแก้ไขสำหรับโหนด Ethereum ที่ได้รับผลกระทบ

หลังจากการเปิดเผย Teku ได้ปล่อยเวอร์ชัน 26.10.3 เพื่อลบรากใบรับรองสี่รายการจากภาพ Docker ของตน รวมถึง emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 และ AAA Certificate Services

Besu ได้แนะนำการลบใบรับรองเดียวกันในเวอร์ชัน 26.10.2 ซึ่งแก้ไขความเสี่ยงสำหรับผู้ดำเนินการที่ใช้ภาพ Docker ที่อัปเดตของตน

อย่างไรก็ตาม การปล่อยเหล่านี้ไม่ได้อัปเดตการติดตั้ง Java โดยอัตโนมัติซึ่งดูแลโดยผู้ดำเนินการโหนด

ผู้ใช้ที่รัน Teku หรือ Besu ผ่านการแจกจ่ายไบนารีแบบสแตนด์อโลนต้องตรวจสอบ Java runtime ที่ติดตั้งและอัปเดตใบรับรองที่เชื่อถือได้ตามความจำเป็น

Teku เตือนว่าผู้ดำเนินการที่ยังใช้ Java 26 จะต้องย้ายไปยัง Java 25 เนื่องจากเวอร์ชันก่อนหน้านี้ได้ถึงจุดสิ้นสุดของอายุการใช้งานและจะไม่ได้รับการแก้ไขที่จำเป็น

คำแนะนำยังได้ระบุการตั้งค่าทดสอบบางอย่างว่าอาจถูกเปิดเผย รวมถึงการตั้งค่าที่ดาวน์โหลดสถานะบล็อกเชนเริ่มต้นผ่าน HTTPS

การอัปเดตด้านความปลอดภัยตามความกังวลล่าสุดอื่น ๆ ที่เกี่ยวข้องกับโครงสร้างพื้นฐานของผู้ตรวจสอบ Ethereum เมื่อเดือนที่แล้ว crypto.news รายงานว่า MetaMask ได้เริ่มออกจากผู้ตรวจสอบที่ได้รับผลกระทบหลังจากเหตุการณ์ด้านความปลอดภัยของโครงสร้างพื้นฐานที่แยกต่างหากซึ่งเปิดเผยเมื่อวันที่ 30 กันยายน

เมื่อเร็ว ๆ นี้ นักพัฒนา Ethereum ได้แก้ไขข้อบกพร่องในการฝากของผู้ตรวจสอบในอัปเกรด Glamsterdam ที่กำลังจะมาถึงหลังจากนักวิจัยระบุสถานการณ์ที่บัญชีผู้สร้างอาจได้รับ ETH ที่ตั้งใจจะมอบให้กับผู้ตรวจสอบ

การอัปเกรด Glamsterdam ได้เผชิญกับความล่าช้าแยกต่างหากหลังจากนักพัฒนาเลื่อนการเปิดใช้งานเครือข่ายทดสอบ Hoodi เพื่อสอบสวนข้อกังวลเกี่ยวกับความเข้ากันได้ของสัญญาอัจฉริยะที่เกี่ยวข้องกับ EIP-8037

การเลื่อนวันที่ 26 ตุลาคมได้ลบการเปิดใช้งานที่กำหนดไว้สำหรับการเปลี่ยนแปลงการดำเนินการ Amsterdam และการเปลี่ยนแปลงฉันทามติ Gloas รวมถึงการเพิ่มขีดจำกัดแก๊สของ Hoodi เป็น 200 ล้าน นักพัฒนา Ethereum ยังไม่ได้ประกาศวันที่เปิดใช้งานใหม่