Teku i Besu wydają poprawki bezpieczeństwa po kompromitacji certyfikatu eMudhra

Teku i Besu, oprogramowanie węzła Ethereum, wydały aktualizacje bezpieczeństwa Docker po kompromitacji organu certyfikacji w eMudhra. Dotknięci operatorzy mogą zaktualizować swoje kontenery, podczas gdy instalacje binarne wymagają osobnego sprawdzenia ich środowiska uruchomieniowego Java. Teku 26.10.3, wydane 27 października, oraz Besu 26.10.2, wydane 26 października, przestają ufać czterem skompromitowanym korzeniom certyfikatów. Ekspozycja Teku zależy od konfiguracji; domyślne węzły mainnet bez adresów URL HTTPS są nietknięte. Atakujący musiałby przechwycić połączenie HTTPS, aby wykorzystać nieusunięte środowisko uruchomieniowe, ale nie zgłoszono żadnych przypadków wykorzystania. Incydent dotyczył odzyskiwalnych kluczy prywatnych dla ośmiu pośrednich organów certyfikacji emSign G3, a eMudhra przyznała się do błędu skryptu, który wygenerował słabe klucze. Pośrednie certyfikaty zostały unieważnione po raporcie z 17 października. Operatorzy muszą sprawdzić swoje środowiska uruchomieniowe Java, ponieważ w zaleceniu Teku stwierdzono, że Java domyślnie nie sprawdza unieważnienia. Obrazy Docker Teku do wersji 26.10.2 zachowują skompromitowany korzeń, a aktualizacja Java na hoście nie wpływa na środowisko uruchomieniowe w tych kontenerach. Besu ogranicza swoją zmianę usunięcia korzenia do obrazów Docker, podczas gdy użytkownicy tar/zip mogą nadal mieć JDK, które ufa tym korzeniom. Zależności HTTPS Teku obejmują zdalnych sygnatariuszy i węzły beacon, a nieusunięte środowisko uruchomieniowe może pozwolić atakującym na podszywanie się pod te usługi, potencjalnie przekierowując opłaty za propozycje lub powodując pominięcie obowiązków walidatora. Wzajemna autoryzacja TLS klienta u sygnatariusza ogranicza wpływ do odmowy usługi.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.