Клиенты Ethereum устраняют уязвимость, которая может перенаправить ETH-вознаграждения

Разработчики клиентов Ethereum Teku и Besu выпустили обновления безопасности для устранения уязвимости сертификата, которая может позволить злоумышленникам выдавать себя за сервисы, используемые валидаторами, и потенциально перенаправлять их блоковые вознаграждения.

Резюме

• Клиенты Ethereum Teku и Besu выпустили обновления безопасности после обнаружения уязвимости сертификата, которая может позволить злоумышленникам перенаправлять блоковые вознаграждения валидаторов на свои собственные адреса.
• Уязвимость возникла из-за слабых криптографических ключей, связанных с восемью удостоверяющими центрами, управляемыми индийской компанией eMudhra, что могло позволить злоумышленникам создавать поддельные сертификаты.
• Teku предупредил, что злоумышленники могут выдавать себя за внешние сервисы, используемые валидаторами Ethereum, и манипулировать предложениями блоков или получать конфиденциальные подписи валидаторов при определенных конфигурациях.
• Конфигурации основной сети Teku по умолчанию не пострадали, и разработчики подтвердили, что о эксплуатации уязвимости не сообщалось.
• Операторы, использующие отдельные установки Teku или Besu, должны отдельно обновить свои Java-среды, так как последние исправления образов Docker не обновляют локально установленные сертификаты Java автоматически.

Согласно предупреждениям безопасности, сопутствующим выпускам, проблема возникла из-за скомпрометированных ключей удостоверяющего центра, принадлежащих индийскому поставщику цифровых сертификатов eMudhra, что оставило некоторые конфигурации узлов Ethereum уязвимыми для поддельных HTTPS-соединений.

Teku выпустил версию 26.10.3 27 октября, в то время как Besu представил версию 26.10.2 на день раньше. Оба обновления убирают доверие к затронутым сертификатам eMudhra из своих образов Docker, которые операторы используют для развертывания и запуска программного обеспечения узлов Ethereum.

Уязвимость может затронуть валидаторов, которые полагаются на внешние сервисы для подписания транзакций, связи с узлами маяка или получения информации о создании блоков. Злоумышленнику нужно будет перехватить затронутое соединение и представить поддельный сертификат, который программное обеспечение валидатора примет за легитимный.

Разработчики Teku подтвердили, что конфигурации основной сети по умолчанию не пострадали и сообщили, что о эксплуатации уязвимости не было сообщений.

Уязвимость безопасности Ethereum связана с скомпрометированными сертификатами eMudhra

Проблема безопасности началась с криптографической ошибки, связанной с восемью промежуточными удостоверяющими центрами, управляемыми eMudhra, чьи закрытые ключи были сгенерированы с использованием недостаточной случайности.

Исследователи выявили проблему 17 октября, обнаружив, что закрытые ключи можно математически восстановить из информации, доступной в публичных сертификатах.

Согласно предупреждению безопасности от Microsoft от 26 октября, шесть из затронутых сертификатов использовались для защиты интернет-соединений, в то время как оставшиеся два были связаны с подписанием кода.

Скомпрометированные ключи могли позволить кому-то создавать сертификаты, которые выглядели бы подлинными для приложений, которые продолжали доверять затронутым удостоверяющим центрам.

eMudhra отозвала затронутые промежуточные сертификаты 18 октября, в то время как поставщики технологий начали удалять доверие к скомпрометированным цепочкам сертификатов из своего программного обеспечения.

Microsoft впоследствии заблокировала затронутые удостоверяющие центры через обновление безопасности Windows 20 октября и выпустила еще одно обновление 26 октября для удаления семи связанных сертификатов из своего списка доверенных.

Тем не менее, проблема оставалась актуальной для Ethereum, поскольку Teku и Besu используют Java, в которой проверка сертификатов по умолчанию не проверяет статус отзыва.

В результате затронутые установки Java могли продолжать принимать сертификаты, связанные с скомпрометированными удостоверяющими центрами, даже после их отзыва.

Как злоумышленники могут перенаправить вознаграждения валидаторов Ethereum

Предупреждение о безопасности Teku выявило несколько возможных сценариев атак, связанных с валидаторами, которые общаются с внешними сервисами через HTTPS-соединения.

Один из сценариев включает в себя злоумышленника, выдающего себя за удалённый узел-маяк, используемый валидатором для координации своих обязанностей в Ethereum.

Если злоумышленнику удастся перехватить соединение и представить поддельный сертификат, валидатор может получить искажённую информацию о блоке, который он собирался предложить.

Согласно Teku, такая атака может привести к тому, что валидатор предложит блок, который направляет комиссии за транзакции на адрес, контролируемый злоумышленником.

В уведомлении также были выделены внешние сервисы подписи как ещё один потенциально уязвимый компонент. Эти сервисы хранят ключи подписи валидатора отдельно от основного программного обеспечения узла и предоставляют подписи по запросу.

Злоумышленник, выдающий себя за внешнего подписанта, потенциально может получить подписи, связанные с выходами валидаторов, в зависимости от конфигурации и доступных защит.

Teku классифицировал этот сценарий как особенно серьёзный, хотя конфигурации, использующие взаимную аутентификацию TLS, могут ограничить последствия отказом в обслуживании.

Другие потенциально затронутые соединения включают клиентские приложения для выполнения, строителей блоков, реле и сервисы, используемые для получения информации о конфигурации валидаторов.

Уязвимость не затронула основные пиринговые сетевые протоколы Ethereum, которые не зависят от скомпрометированных центров сертификации.

Teku и Besu выпустили исправления для затронутых узлов Ethereum

После раскрытия информации Teku выпустил версию 26.10.3, чтобы удалить четыре корневых сертификата из своих образов Docker, включая emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 и AAA Certificate Services.

Besu внедрил те же удаления сертификатов в версии 26.10.2, устраняя риск для операторов, использующих его обновлённые образы Docker.

Однако эти выпуски не обновляют автоматически установки Java, поддерживаемые отдельно операторами узлов.

Пользователи, запускающие Teku или Besu через отдельные бинарные дистрибутивы, должны проверить свою установленную среду выполнения Java и обновить её доверенные сертификаты при необходимости.

Teku предупредил, что операторам, всё ещё использующим Java 26, необходимо перейти на Java 25, так как предыдущая версия достигла конца срока службы и не получит необходимую исправленную сборку.

Уведомление также выделило некоторые конфигурации тестовой сети как потенциально уязвимые, включая настройки, которые загружают своё начальное состояние блокчейна через HTTPS.

Обновления безопасности следуют за другими недавними проблемами, связанными с инфраструктурой валидаторов Ethereum. В начале этого месяца crypto.news сообщило, что MetaMask начал выходить из затронутых валидаторов после отдельного инцидента с безопасностью инфраструктуры, раскрытого 30 сентября.

Совсем недавно разработчики Ethereum исправили ошибку депозита валидатора в предстоящем обновлении Glamsterdam после того, как исследователи выявили сценарий, в котором аккаунты строителей могли получать ETH, предназначенный для валидаторов.

Обновление Glamsterdam также столкнулось с задержками после того, как разработчики отложили активацию тестовой сети Hoodi, чтобы исследовать проблемы совместимости смарт-контрактов, связанные с EIP-8037.

Отсрочка 26 октября исключила запланированную активацию как изменений выполнения Amsterdam, так и изменений консенсуса Gloas, наряду с предложенным увеличением лимита газа Hoodi до 200 миллионов. Разработчики Ethereum не объявили новую дату активации.