Cập nhật bảo mật được phát hành cho khách hàng Ethereum: Sửa lỗi chứng chỉ eMudhra, nút mạng chính mặc định không bị ảnh hưởng

Cơ quan cấp chứng chỉ Ấn Độ eMudhra đã gặp phải lỗ hổng bảo mật mã hóa ảnh hưởng đến các khách hàng Ethereum Teku và Besu. Các nhà nghiên cứu phát hiện rằng khóa riêng của 8 cơ quan cấp chứng chỉ trung gian thuộc eMudhra có thể bị suy diễn do tính ngẫu nhiên không đủ, từ đó kẻ tấn công có thể giả mạo chứng chỉ và lừa đảo phần mềm chưa được sửa chữa tin tưởng vào dịch vụ độc hại.

Teku đã phát hành phiên bản 26.1.3, Besu đã phát hành phiên bản 26.1.2, cả hai đều đã loại bỏ sự tin tưởng vào các chứng chỉ liên quan trong hình ảnh Docker. Nếu kẻ tấn công thực hiện tấn công man-in-the-middle, có thể lừa một số người xác thực gửi phần thưởng phí giao dịch khối đến địa chỉ của kẻ tấn công; trong cấu hình cụ thể sử dụng trình ký bên ngoài, rủi ro có thể cao hơn. Nhóm Teku cho biết, nút Teku trên mạng chính Ethereum với cấu hình mặc định không bị ảnh hưởng, không cần thực hiện hành động nào, hiện chưa có báo cáo về việc lỗ hổng bị khai thác.

Đối với những người vận hành chạy Teku hoặc Besu trực tiếp trên máy chủ mà không sử dụng Docker, chỉ cập nhật khách hàng có thể không đủ, còn cần phải cập nhật thủ công Java và danh sách chứng chỉ tin cậy của nó. Những người vẫn đang sử dụng Java 26 đã ngừng bảo trì sẽ cần phải chuyển sang Java 25.