Teku e Besu rilasciano aggiornamenti di sicurezza dopo la compromissione del certificato eMudhra

Teku e Besu, software per nodi Ethereum, hanno rilasciato aggiornamenti di sicurezza per Docker a seguito di una compromissione dell'autorità di certificazione di eMudhra. Gli operatori interessati possono aggiornare i loro contenitori, mentre le installazioni binarie richiedono un controllo separato del loro runtime Java. Teku 26.10.3, rilasciato il 27 ottobre, e Besu 26.10.2, rilasciato il 26 ottobre, smettono di fidarsi di quattro radici di certificato compromesse. L'esposizione di Teku dipende dalla configurazione; i nodi predefiniti della mainnet senza URL HTTPS non sono interessati. Un attaccante dovrebbe intercettare una connessione HTTPS per sfruttare un runtime non rimediato, ma non sono stati segnalati sfruttamenti. L'incidente ha coinvolto chiavi private recuperabili per otto autorità di certificazione intermedie emSign G3, con eMudhra che ha riconosciuto un errore di script che ha prodotto chiavi deboli. Gli intermediari sono stati revocati dopo il rapporto del 17 ottobre. Gli operatori devono controllare i loro runtime Java, poiché l'avviso di Teku afferma che Java non controlla la revoca per impostazione predefinita. Le immagini Docker di Teku fino alla versione 26.10.2 mantengono la radice compromessa, e l'aggiornamento di Java sull'host non influisce sul runtime in quei contenitori. Besu limita il suo cambiamento di rimozione della radice alle immagini Docker, mentre gli utenti di tar/zip potrebbero ancora avere un JDK che si fida delle radici. Le dipendenze HTTPS di Teku includono firmatari remoti e nodi beacon, e un runtime non rimediato potrebbe consentire agli attaccanti di impersonare questi servizi, potenzialmente reindirizzando le commissioni di proposta o causando il mancato adempimento dei doveri dei validatori. L'autenticazione client mutual TLS presso il firmatario limita l'impatto a un'interruzione del servizio.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.