Ethereum-Clients schließen eMudhra-Zertifikatslücke
4.3 Security Teku und Besu haben eine eMudhra-Sicherheitslücke geschlossen und kompromittierte Zertifikate aus Docker-Images entfernt. Mainnet-Knoten waren sicher, Java-Updates für Nicht-Docker nötig.
Die Ethereum-Clients Teku und Besu haben dringende Sicherheitsupdates veröffentlicht, nachdem bei der indischen Zertifizierungsstelle eMudhra eine kryptografische Schwachstelle entdeckt wurde. Forscher fanden heraus, dass schwache Zufallszahlen bei der Schlüsselerzeugung es ermöglichten, private Schlüssel von acht Zwischenzertifizierungsstellen abzuleiten. Dadurch wurden einige Validator-Setups anfällig für Identitätsdiebstahl und Man-in-the-Middle-Angriffe. Angreifer hätten so Zertifikate fälschen, Dienste imitieren und möglicherweise Blockbelohnungen von betroffenen Validatoren umleiten können. Teku (Version 26.10.3) und Besu (Version 26.10.2) haben das Vertrauen in die kompromittierten Zertifikatswurzeln aus ihren Docker-Images entfernt. Standard-Mainnet-Knoten waren nicht betroffen und es wurden keine Ausnutzungen gemeldet. Betreiber, die externe Dienste über HTTPS nutzen oder Nicht-Docker-Installationen betreiben, müssen ihre Java-Runtimes und Trust Stores manuell aktualisieren, da die Client-Updates das Vertrauen auf Host-Ebene nicht ändern. Der Vorfall unterstreicht die Bedeutung aktueller Software und der Überwachung von Zertifizierungsstellen.
