Teku та Besu випустили виправлення безпеки після компрометації сертифіката eMudhra

Teku та Besu, програмне забезпечення для вузлів Ethereum, випустили оновлення безпеки Docker після компрометації сертифікаційного центру eMudhra. Постраждалі оператори можуть оновити свої контейнери, тоді як бінарні установки вимагають окремої перевірки їх Java-оточення. Teku 26.10.3, випущений 27 жовтня, та Besu 26.10.2, випущений 26 жовтня, перестають довіряти чотирьом скомпрометованим кореням сертифікатів. Вразливість Teku залежить від конфігурації; вузли основної мережі за замовчуванням без HTTPS-URL не підлягають впливу. Зловмисник повинен перехопити HTTPS-з'єднання, щоб експлуатувати неусунуте оточення, але про жодну експлуатацію не повідомлялося. Інцидент стосувався відновлювальних приватних ключів для восьми сертифікаційних центрів emSign G3, при цьому eMudhra визнала помилку в скрипті, яка призвела до слабких ключів. Проміжні сертифікати були відкликані після звіту 17 жовтня. Операторам слід перевірити свої Java-оточення, оскільки в рекомендаціях Teku зазначено, що Java за замовчуванням не перевіряє відкликання. Docker-образи Teku до 26.10.2 зберігають скомпрометований корінь, і оновлення Java на хості не вплине на оточення в цих контейнерах. Besu обмежує зміни видалення кореня лише Docker-образами, тоді як користувачі tar/zip можуть все ще мати JDK, який довіряє кореням. Залежності HTTPS Teku включають віддалених підписувачів та вузли маяка, а неусунуте оточення може дозволити зловмисникам видавати себе за ці сервіси, потенційно перенаправляючи комісії за пропозиції або викликаючи пропуски обов'язків валідаторів. Взаємна аутентифікація клієнтів TLS у підписувача обмежує вплив до відмови в обслуговуванні.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.