Teku y Besu lanzan correcciones de seguridad tras la violación del certificado de eMudhra

Teku y Besu, software de nodos de Ethereum, han lanzado actualizaciones de seguridad de Docker tras un compromiso de la autoridad de certificación en eMudhra. Los operadores afectados pueden actualizar sus contenedores, mientras que las instalaciones binarias requieren una verificación separada de su entorno de ejecución de Java. Teku 26.10.3, lanzado el 27 de octubre, y Besu 26.10.2, lanzado el 26 de octubre, dejan de confiar en cuatro raíces de certificados comprometidos. La exposición de Teku depende de la configuración; los nodos predeterminados de mainnet sin URLs HTTPS no se ven afectados. Un atacante necesitaría interceptar una conexión HTTPS para explotar un entorno de ejecución no remediado, pero no se ha informado de ninguna explotación. El incidente involucró claves privadas recuperables para ocho autoridades de certificación intermedias emSign G3, con eMudhra reconociendo un error de script que produjo claves débiles. Los intermedios fueron revocados tras el informe del 17 de octubre. Los operadores deben verificar sus entornos de ejecución de Java, ya que el aviso de Teku indica que Java no verifica la revocación por defecto. Las imágenes de Docker de Teku hasta la versión 26.10.2 retienen la raíz comprometida, y actualizar Java en el host no afecta el entorno de ejecución en esos contenedores. Besu limita su cambio de eliminación de raíz a las imágenes de Docker, mientras que los usuarios de tar/zip pueden seguir teniendo un JDK que confía en las raíces. Las dependencias HTTPS de Teku incluyen firmantes remotos y nodos de beacon, y un entorno de ejecución no remediado podría permitir a los atacantes suplantar estos servicios, potencialmente redirigiendo tarifas de propuestas o causando incumplimientos de deberes de validadores. La autenticación de cliente TLS mutua en el firmante limita el impacto a la denegación de servicio.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.