TekuとBesuがeMudhra証明書の侵害後にセキュリティ修正をリリース

TekuとBesu、Ethereumノードソフトウェアは、eMudhraでの証明書機関の侵害を受けてDockerセキュリティアップデートをリリースしました。影響を受けたオペレーターはコンテナを更新できますが、バイナリインストールにはJavaランタイムの別途確認が必要です。Teku 26.10.3は10月27日にリリースされ、Besu 26.10.2は10月26日にリリースされ、4つの侵害された証明書ルートの信頼を停止します。Tekuの露出は設定に依存し、HTTPS URLのないデフォルトのメインネットノードは影響を受けません。攻撃者は修正されていないランタイムを悪用するためにHTTPS接続を傍受する必要がありますが、悪用の報告はされていません。この事件には、8つのemSign G3中間証明書機関の回復可能な秘密鍵が関与しており、eMudhraは弱い鍵を生成したスクリプトエラーを認めています。中間証明書は10月17日の報告後に取り消されました。オペレーターはJavaランタイムを確認する必要があります。Tekuのアドバイザリーによれば、Javaはデフォルトで取り消しを確認しません。TekuのDockerイメージは26.10.2まで侵害されたルートを保持しており、ホスト上でJavaを更新してもそれらのコンテナ内のランタイムには影響しません。Besuはルート削除の変更をDockerイメージに限定していますが、tar/zipユーザーは依然としてルートを信頼するJDKを持っている可能性があります。TekuのHTTPS依存関係にはリモートサイナーやビーコノードが含まれており、修正されていないランタイムは攻撃者がこれらのサービスを偽装することを可能にし、提案手数料をリダイレクトしたり、バリデーターの義務を逃す可能性があります。サイナーでの相互TLSクライアント認証により、影響はサービス拒否攻撃に制限されます。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。