Clientes Ethereum corrigem falha que poderia redirecionar recompensas em ETH

Os desenvolvedores dos clientes Ethereum Teku e Besu lançaram atualizações de segurança para corrigir uma vulnerabilidade de certificado que poderia permitir que atacantes se passassem por serviços utilizados por validadores e potencialmente redirecionassem suas recompensas de bloco.

Resumo

• Os clientes Ethereum Teku e Besu lançaram atualizações de segurança após a descoberta de uma vulnerabilidade de certificado que poderia permitir que atacantes redirecionassem recompensas de bloco de validadores para seus próprios endereços.
• A vulnerabilidade originou-se de chaves criptográficas fracas associadas a oito autoridades certificadoras operadas pela empresa indiana eMudhra, o que poderia permitir que atacantes criassem certificados fraudulentos.
• Teku alertou que atacantes poderiam se passar por serviços externos utilizados por validadores Ethereum e manipular propostas de bloco ou obter assinaturas sensíveis de validadores sob certas configurações.
• As configurações padrão da mainnet do Teku não foram afetadas, e os desenvolvedores confirmaram que nenhuma exploração da vulnerabilidade foi relatada.
• Operadores que utilizam instalações independentes do Teku ou Besu devem atualizar seus ambientes Java separadamente, pois as correções mais recentes da imagem Docker não atualizam automaticamente os certificados Java instalados localmente.

De acordo com os avisos de segurança que acompanham os lançamentos, o problema originou-se de chaves de autoridade certificadora comprometidas pertencentes ao provedor indiano de certificados digitais eMudhra, que deixou certas configurações de nós Ethereum expostas a conexões HTTPS forjadas.

Teku lançou a versão 26.10.3 em 27 de outubro, enquanto o Besu introduziu a versão 26.10.2 um dia antes. Ambas as atualizações removem a confiança nos certificados eMudhra afetados de suas imagens Docker, que os operadores usam para implantar e executar software de nó Ethereum.

A vulnerabilidade poderia afetar validadores que dependem de serviços externos para assinar transações, comunicar-se com nós beacon ou receber informações sobre construção de blocos. Um atacante precisaria interceptar uma conexão afetada e apresentar um certificado forjado que o software do validador aceitasse como legítimo.

Os desenvolvedores do Teku confirmaram que as configurações padrão da mainnet não foram afetadas e disseram que não houve exploração relatada da vulnerabilidade.

Falha de segurança do Ethereum rastreada até certificados comprometidos da eMudhra

O problema de segurança começou com um erro criptográfico envolvendo oito autoridades certificadoras intermediárias operadas pela eMudhra, cujas chaves privadas foram encontradas geradas com aleatoriedade insuficiente.

Pesquisadores identificaram o problema em 17 de outubro, descobrindo que as chaves privadas poderiam ser recuperadas matematicamente a partir de informações disponíveis nos certificados públicos.

De acordo com um aviso de segurança da Microsoft de 26 de outubro, seis dos certificados afetados foram usados para proteger conexões de internet, enquanto os dois restantes estavam associados à assinatura de código.

As chaves comprometidas poderiam permitir que alguém criasse certificados que parecessem genuínos para aplicações que continuassem confiando nas autoridades certificadoras afetadas.

eMudhra revogou os certificados intermediários afetados em 18 de outubro, enquanto os provedores de tecnologia começaram a remover a confiança nas cadeias de certificados comprometidas de seu software.

A Microsoft, subsequentemente, bloqueou as autoridades certificadoras afetadas através de uma atualização de segurança do Windows em 20 de outubro e lançou outra atualização em 26 de outubro para remover sete certificados associados de sua lista de confiança.

No entanto, o problema permaneceu relevante para o Ethereum porque Teku e Besu usam Java, cuja validação de certificados não verifica o status de revogação por padrão.

Como resultado, instalações Java afetadas poderiam continuar aceitando certificados associados às autoridades comprometidas mesmo após sua revogação.

Como os atacantes poderiam redirecionar recompensas de validadores Ethereum

O aviso de segurança do Teku identificou vários possíveis cenários de ataque envolvendo validadores que se comunicam com serviços externos através de conexões HTTPS.

Um cenário envolve um atacante a se passar por um nó de beacon remoto usado por um validador para coordenar suas funções no Ethereum.

Se o atacante interceptar com sucesso a conexão e apresentar um certificado forjado, o validador pode receber informações manipuladas sobre o bloco que estava se preparando para propor.

De acordo com a Teku, tal ataque poderia fazer com que um validador propusesse um bloco que direciona taxas de transação para um endereço controlado pelo atacante.

O aviso identificou serviços de assinatura externos como outro componente potencialmente exposto. Esses serviços mantêm chaves de assinatura de validadores separadamente do software principal do nó e fornecem assinaturas quando solicitado.

Um atacante se passando por um signatário externo poderia potencialmente obter assinaturas associadas a saídas de validadores, dependendo da configuração e das proteções disponíveis.

A Teku classificou esse cenário como particularmente sério, embora configurações que utilizem autenticação mútua TLS possam limitar as consequências a uma negação de serviço.

Outras conexões potencialmente afetadas incluem clientes de execução, construtores de blocos, retransmissores e serviços usados para recuperar informações de configuração de validadores.

A vulnerabilidade não afetou os protocolos de rede peer-to-peer subjacentes do Ethereum, que não dependem das autoridades certificadoras comprometidas.

Teku e Besu lançam correções para nós do Ethereum afetados

Após a divulgação, a Teku lançou a versão 26.10.3 para remover quatro raízes de certificado de suas imagens Docker, incluindo emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 e AAA Certificate Services.

A Besu introduziu as mesmas remoções de certificado na versão 26.10.2, abordando o risco para operadores que utilizam suas imagens Docker atualizadas.

No entanto, os lançamentos não atualizam automaticamente as instalações do Java mantidas separadamente pelos operadores de nós.

Usuários que executam Teku ou Besu através de distribuições binárias independentes devem verificar seu runtime Java instalado e atualizar seus certificados confiáveis quando necessário.

A Teku alertou que operadores que ainda usam Java 26 precisariam migrar para Java 25, pois a versão anterior atingiu o fim da vida útil e não receberia a correção necessária.

O aviso identificou ainda certas configurações de testnet como potencialmente expostas, incluindo configurações que baixam seu estado inicial da blockchain via HTTPS.

As atualizações de segurança seguem outras preocupações recentes envolvendo a infraestrutura de validadores do Ethereum. No início deste mês, o crypto.news relatou que a MetaMask havia começado a sair de validadores afetados após um incidente de segurança de infraestrutura separado divulgado em 30 de setembro.

Mais recentemente, os desenvolvedores do Ethereum corrigiram uma falha de depósito de validadores na próxima atualização Glamsterdam, após pesquisadores identificarem um cenário onde contas de construtores poderiam receber ETH destinado a validadores.

A atualização Glamsterdam enfrentou atrasos separadamente após os desenvolvedores adiando a ativação de seu testnet Hoodi para investigar preocupações de compatibilidade de contratos inteligentes envolvendo o EIP-8037.

O adiamento de 26 de outubro removeu a ativação programada tanto das mudanças de execução de Amsterdam quanto das mudanças de consenso de Gloas, juntamente com um aumento proposto no limite de gás de Hoodi para 200 milhões. Os desenvolvedores do Ethereum não anunciaram uma nova data de ativação.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.