Teku dan Besu rilis perbaikan keamanan setelah kompromi sertifikat eMudhra

Teku dan Besu, perangkat lunak node Ethereum, telah merilis pembaruan keamanan Docker setelah kompromi otoritas sertifikat di eMudhra. Operator yang terpengaruh dapat memperbarui kontainer mereka, sementara instalasi biner memerlukan pemeriksaan terpisah terhadap runtime Java mereka. Teku 26.10.3, dirilis pada 27 Oktober, dan Besu 26.10.2, dirilis pada 26 Oktober, menghentikan kepercayaan terhadap empat akar sertifikat yang telah dikompromikan. Paparan Teku tergantung pada konfigurasi; node mainnet default tanpa URL HTTPS tidak terpengaruh. Seorang penyerang perlu mencegat koneksi HTTPS untuk mengeksploitasi runtime yang tidak diperbaiki, tetapi tidak ada eksploitasi yang dilaporkan. Insiden ini melibatkan kunci privat yang dapat dipulihkan untuk delapan otoritas sertifikat perantara emSign G3, dengan eMudhra mengakui kesalahan skrip yang menghasilkan kunci yang lemah. Sertifikat perantara tersebut dicabut setelah laporan 17 Oktober. Operator harus memeriksa runtime Java mereka, karena saran Teku menyatakan bahwa Java tidak memeriksa pencabutan secara default. Gambar Docker Teku hingga 26.10.2 mempertahankan akar yang dikompromikan, dan memperbarui Java di host tidak mempengaruhi runtime di kontainer tersebut. Besu membatasi perubahan penghapusan akarnya pada gambar Docker, sementara pengguna tar/zip mungkin masih memiliki JDK yang mempercayai akar tersebut. Ketergantungan HTTPS Teku mencakup penandatangan jarak jauh dan node beacon, dan runtime yang tidak diperbaiki dapat memungkinkan penyerang untuk menyamar sebagai layanan ini, berpotensi mengalihkan biaya proposal atau menyebabkan tugas validator terlewat. Autentikasi klien TLS mutual di penandatangan membatasi dampak menjadi penolakan layanan.