Teku e Besu lançam correções de segurança após comprometimento do certificado eMudhra

Teku e Besu, software de nó Ethereum, lançaram atualizações de segurança do Docker após um comprometimento da autoridade certificadora na eMudhra. Os operadores afetados podem atualizar seus contêineres, enquanto as instalações binárias requerem uma verificação separada de seu tempo de execução Java. Teku 26.10.3, lançado em 27 de outubro, e Besu 26.10.2, lançado em 26 de outubro, param de confiar em quatro raízes de certificado comprometidas. A exposição do Teku depende da configuração; nós padrão da mainnet sem URLs HTTPS não são afetados. Um atacante precisaria interceptar uma conexão HTTPS para explorar um tempo de execução não remediado, mas nenhuma exploração foi relatada. O incidente envolveu chaves privadas recuperáveis para oito autoridades certificadoras intermediárias emSign G3, com a eMudhra reconhecendo um erro de script que produziu chaves fracas. Os intermediários foram revogados após o relatório de 17 de outubro. Os operadores devem verificar seus tempos de execução Java, pois o aviso do Teku afirma que o Java não verifica a revogação por padrão. As imagens Docker do Teku até 26.10.2 mantêm a raiz comprometida, e atualizar o Java no host não afeta o tempo de execução nesses contêineres. O Besu limita sua alteração de remoção de raiz às imagens Docker, enquanto os usuários de tar/zip podem ainda ter um JDK que confia nas raízes. As dependências HTTPS do Teku incluem signatários remotos e nós beacon, e um tempo de execução não remediado poderia permitir que atacantes se passassem por esses serviços, potencialmente redirecionando taxas de proposta ou causando falhas nas funções de validador. A autenticação mútua TLS do cliente no signatário limita o impacto a negação de serviço.