Teku 和 Besu 在 eMudhra 證書遭到妥協後發布安全修補

Teku 和 Besu，Ethereum 節點軟體，在 eMudhra 的證書授權機構遭到妥協後發布了 Docker 安全更新。受影響的操作員可以更新他們的容器，而二進位安裝則需要單獨檢查其 Java 執行環境。Teku 26.10.3 於 10 月 27 日發布，Besu 26.10.2 於 10 月 26 日發布，停止信任四個受損的證書根。Teku 的暴露程度取決於配置；默認的主網節點在沒有 HTTPS URL 的情況下不受影響。攻擊者需要攔截 HTTPS 連接才能利用未修復的執行環境，但尚未報告任何利用事件。此次事件涉及八個 emSign G3 中介證書授權機構的可恢復私鑰，eMudhra 承認了一個生成弱密鑰的腳本錯誤。中介證書在 10 月 17 日報告後被撤銷。操作員必須檢查他們的 Java 執行環境，因為 Teku 的建議指出 Java 默認不檢查撤銷。Teku 的 Docker 映像在 26.10.2 之前保留了受損的根，而在這些容器中更新主機上的 Java 不會影響執行環境。Besu 將其根移除的變更限制在 Docker 映像中，而 tar/zip 用戶可能仍擁有信任這些根的 JDK。Teku 的 HTTPS 依賴包括遠程簽署者和信標節點，未修復的執行環境可能允許攻擊者冒充這些服務，可能重定向提案費或導致驗證者職責缺失。簽署者的相互 TLS 客戶端身份驗證將影響限制在拒絕服務上。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。