Teku và Besu phát hành bản sửa lỗi bảo mật sau sự cố chứng chỉ eMudhra

Teku và Besu, phần mềm nút Ethereum, đã phát hành các bản cập nhật bảo mật Docker sau khi xảy ra sự cố với cơ quan chứng nhận tại eMudhra. Các nhà điều hành bị ảnh hưởng có thể cập nhật các container của họ, trong khi các cài đặt nhị phân cần kiểm tra riêng biệt về môi trường Java của họ. Teku 26.10.3, phát hành vào ngày 27 tháng 10, và Besu 26.10.2, phát hành vào ngày 26 tháng 10, ngừng tin tưởng vào bốn chứng chỉ gốc bị xâm phạm. Mức độ tiếp xúc của Teku phụ thuộc vào cấu hình; các nút mainnet mặc định không có URL HTTPS không bị ảnh hưởng. Một kẻ tấn công sẽ cần phải chặn một kết nối HTTPS để khai thác một môi trường chưa được khắc phục, nhưng chưa có báo cáo nào về việc khai thác. Sự cố liên quan đến các khóa riêng có thể khôi phục cho tám cơ quan chứng nhận trung gian emSign G3, với eMudhra thừa nhận một lỗi kịch bản đã tạo ra các khóa yếu. Các chứng chỉ trung gian đã bị thu hồi sau báo cáo vào ngày 17 tháng 10. Các nhà điều hành phải kiểm tra môi trường Java của họ, vì thông báo của Teku cho biết rằng Java không kiểm tra việc thu hồi theo mặc định. Các hình ảnh Docker của Teku qua 26.10.2 giữ lại gốc bị xâm phạm, và việc cập nhật Java trên máy chủ không ảnh hưởng đến môi trường trong các container đó. Besu giới hạn thay đổi loại bỏ gốc của nó đối với các hình ảnh Docker, trong khi người dùng tar/zip có thể vẫn có một JDK tin tưởng vào các gốc này. Các phụ thuộc HTTPS của Teku bao gồm các signer từ xa và các nút beacon, và một môi trường chưa được khắc phục có thể cho phép kẻ tấn công giả mạo các dịch vụ này, có khả năng chuyển hướng phí đề xuất hoặc gây ra việc bỏ lỡ nhiệm vụ của các validator. Xác thực khách hàng TLS tương hỗ tại signer giới hạn tác động đến từ chối dịch vụ.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.