Teku e Besu lançam correções de segurança após comprometimento do certificado eMudhra

Teku e Besu, softwares de nó Ethereum, lançaram atualizações de segurança do Docker após um comprometimento da autoridade certificadora na eMudhra. Operadores afetados podem atualizar seus contêineres, enquanto instalações binárias requerem uma verificação separada de seu tempo de execução Java. Teku 26.10.3, lançado em 27 de outubro, e Besu 26.10.2, lançado em 26 de outubro, param de confiar em quatro raízes de certificado comprometidas. A exposição do Teku depende da configuração; nós padrão da mainnet sem URLs HTTPS não são afetados. Um atacante precisaria interceptar uma conexão HTTPS para explorar um tempo de execução não remediado, mas nenhuma exploração foi relatada. O incidente envolveu chaves privadas recuperáveis para oito autoridades certificadoras intermediárias emSign G3, com a eMudhra reconhecendo um erro de script que produziu chaves fracas. Os intermediários foram revogados após o relatório de 17 de outubro. Os operadores devem verificar seus tempos de execução Java, pois o aviso do Teku afirma que o Java não verifica a revogação por padrão. As imagens Docker do Teku até 26.10.2 mantêm a raiz comprometida, e atualizar o Java no host não afeta o tempo de execução nesses contêineres. O Besu limita sua alteração de remoção de raiz às imagens Docker, enquanto usuários de tar/zip podem ainda ter um JDK que confia nas raízes. As dependências HTTPS do Teku incluem signatários remotos e nós beacon, e um tempo de execução não remediado poderia permitir que atacantes se passassem por esses serviços, potencialmente redirecionando taxas de proposta ou causando falhas nas funções de validadores. A autenticação mútua TLS do cliente na signatária limita o impacto a negação de serviço.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.