تيكو وبيسو يطلقان تحديثات أمان بعد اختراق شهادة eMudhra

أصدرت تيكو وبيسو، برمجيات عقد الإيثريوم، تحديثات أمان لدوكير بعد اختراق هيئة الشهادات في eMudhra. يمكن للمشغلين المتأثرين تحديث حاوياتهم، بينما تتطلب التثبيتات الثنائية فحصًا منفصلًا لبيئة تشغيل جافا الخاصة بهم. تيكو 26.10.3، الذي صدر في 27 أكتوبر، وبيسو 26.10.2، الذي صدر في 26 أكتوبر، توقفا عن الوثوق بأربعة جذور شهادات مخترقة. تعتمد تعرض تيكو على التكوين؛ حيث أن العقد الافتراضية على الشبكة الرئيسية بدون عناوين HTTPS غير متأثرة. سيحتاج المهاجم إلى اعتراض اتصال HTTPS لاستغلال بيئة تشغيل غير مصححة، لكن لم يتم الإبلاغ عن أي استغلال. تتعلق الحادثة بمفاتيح خاصة قابلة للاسترداد لثمانية هيئات شهادات وسيطة emSign G3، حيث اعترفت eMudhra بخطأ في البرنامج أدى إلى إنتاج مفاتيح ضعيفة. تم إلغاء صلاحية الشهادات الوسيطة بعد تقرير 17 أكتوبر. يجب على المشغلين فحص بيئات تشغيل جافا الخاصة بهم، حيث تنص نصيحة تيكو على أن جافا لا تتحقق من الإلغاء بشكل افتراضي. تحتفظ صور دوكير الخاصة بتيكو حتى 26.10.2 بالجذر المخترق، وتحديث جافا على المضيف لا يؤثر على بيئة التشغيل في تلك الحاويات. يقتصر تغيير إزالة الجذر في بيسو على صور دوكير، بينما قد لا يزال لدى مستخدمي tar/zip JDK يثق بالجذور. تشمل تبعيات HTTPS الخاصة بتيكو الموقّعين عن بُعد وعقد المنارة، وقد تسمح بيئة التشغيل غير المصححة للمهاجمين بانتحال هذه الخدمات، مما قد يؤدي إلى إعادة توجيه رسوم الاقتراح أو التسبب في تفويت واجبات المدققين. يحد مصادقة العميل TLS المتبادلة عند الموقّع من التأثير إلى حرمان الخدمة.