Teku 和 Besu 在 eMudhra 证书泄露后发布安全修复

Teku 和 Besu，Ethereum 节点软件，在 eMudhra 的证书授权机构遭到泄露后发布了 Docker 安全更新。受影响的操作员可以更新他们的容器，而二进制安装需要单独检查其 Java 运行时。Teku 26.10.3 于 10 月 27 日发布，Besu 26.10.2 于 10 月 26 日发布，停止信任四个被泄露的证书根。Teku 的暴露程度取决于配置；默认的主网节点在没有 HTTPS URL 的情况下不受影响。攻击者需要拦截 HTTPS 连接才能利用未修复的运行时，但尚未报告任何利用情况。事件涉及八个 emSign G3 中间证书授权机构的可恢复私钥，eMudhra 承认了一个导致弱密钥的脚本错误。中间证书在 10 月 17 日报告后被撤销。操作员必须检查他们的 Java 运行时，因为 Teku 的建议指出 Java 默认不检查撤销。Teku 通过 26.10.2 的 Docker 镜像保留了被泄露的根，而在这些容器中更新主机上的 Java 不会影响运行时。Besu 将其根移除的更改限制在 Docker 镜像中，而 tar/zip 用户可能仍然拥有信任这些根的 JDK。Teku 的 HTTPS 依赖包括远程签名者和信标节点，未修复的运行时可能允许攻击者冒充这些服务，可能重定向提案费用或导致验证者职责缺失。签名者的互 TLS 客户端身份验证将影响限制在拒绝服务上。