Teku และ Besu ปล่อยการแก้ไขความปลอดภัยหลังจากการละเมิดใบรับรอง eMudhra

Teku และ Besu ซอฟต์แวร์โหนด Ethereum ได้ปล่อยการอัปเดตความปลอดภัย Docker หลังจากการละเมิดหน่วยงานออกใบรับรองที่ eMudhra ผู้ให้บริการที่ได้รับผลกระทบสามารถอัปเดตคอนเทนเนอร์ของตนได้ ในขณะที่การติดตั้งแบบไบนารีต้องตรวจสอบ Java runtime แยกต่างหาก Teku 26.10.3 ซึ่งปล่อยเมื่อวันที่ 27 ต.ค. และ Besu 26.10.2 ซึ่งปล่อยเมื่อวันที่ 26 ต.ค. จะหยุดการเชื่อถือรากใบรับรองที่ถูกละเมิดสี่รายการ การเปิดเผยของ Teku ขึ้นอยู่กับการกำหนดค่า; โหนด mainnet เริ่มต้นที่ไม่มี URL HTTPS จะไม่ได้รับผลกระทบ ผู้โจมตีจะต้องดักจับการเชื่อมต่อ HTTPS เพื่อใช้ประโยชน์จาก runtime ที่ไม่ได้รับการแก้ไข แต่ยังไม่มีการรายงานการใช้ประโยชน์ เหตุการณ์นี้เกี่ยวข้องกับกุญแจส่วนตัวที่สามารถกู้คืนได้สำหรับหน่วยงานออกใบรับรองกลาง emSign G3 แปดแห่ง โดย eMudhra ยอมรับว่ามีข้อผิดพลาดในสคริปต์ที่ผลิตกุญแจที่อ่อนแอ หน่วยงานกลางถูกเพิกถอนหลังจากรายงานเมื่อวันที่ 17 ต.ค. ผู้ให้บริการต้องตรวจสอบ Java runtimes ของตน เนื่องจากคำแนะนำของ Teku ระบุว่า Java จะไม่ตรวจสอบการเพิกถอนโดยค่าเริ่มต้น รูปภาพ Docker ของ Teku ผ่าน 26.10.2 ยังคงรักษารากที่ถูกละเมิด และการอัปเดต Java บนโฮสต์จะไม่ส่งผลต่อ runtime ในคอนเทนเนอร์เหล่านั้น Besu จำกัดการเปลี่ยนแปลงการลบรากของตนไว้ที่รูปภาพ Docker ในขณะที่ผู้ใช้ tar/zip อาจยังมี JDK ที่เชื่อถือรากเหล่านั้น ข้อกำหนด HTTPS ของ Teku รวมถึงผู้ลงนามระยะไกลและโหนด beacon และ runtime ที่ไม่ได้รับการแก้ไขอาจอนุญาตให้ผู้โจมตีปลอมแปลงบริการเหล่านี้ ซึ่งอาจเปลี่ยนเส้นทางค่าธรรมเนียมข้อเสนอหรือทำให้หน้าที่ของผู้ตรวจสอบขาดหายไป การตรวจสอบความถูกต้องของผู้ใช้ TLS แบบคู่ที่ผู้ลงนามจะจำกัดผลกระทบให้เหลือเพียงการปฏิเสธบริการ

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ