ไคลเอนต์ Ethereum เปิดตัวอัปเดตความปลอดภัย แก้ไขช่องโหว่ใบรับรอง eMudhra โหนดเมนเน็ตเริ่มต้นไม่ได้รับผลกระทบ

ข่าว BlockBeats วันที่ 29 ตุลาคม ช่องโหว่ด้านความปลอดภัยการเข้ารหัสของ eMudhra ผู้ให้บริการออกใบรับรองจากอินเดีย ส่งผลกระทบต่อไคลเอนต์ Ethereum Teku และ Besu นักวิจัยพบว่าคีย์ส่วนตัวของหน่วยออกใบรับรองระดับกลาง 8 แห่งภายใต้ eMudhra อาจถูกคำนวณย้อนกลับได้เนื่องจากความสุ่มไม่เพียงพอ ทำให้ผู้โจมตีอาจปลอมแปลงใบรับรองและหลอกล่อซอฟต์แวร์ที่ยังไม่ได้แก้ไขให้เชื่อถือบริการที่เป็นอันตราย

Teku ได้เปิดตัวเวอร์ชัน 26.10.3 และ Besu ได้เปิดตัวเวอร์ชัน 26.10.2 โดยทั้งสองได้ลบความเชื่อถือต่อใบรับรองที่เกี่ยวข้องออกจาก Docker image หากผู้โจมตีดำเนินการโจมตีแบบ man-in-the-middle อาจหลอกล่อให้ผู้ตรวจสอบสอบบางส่วนส่งรางวัลค่าธรรมเนียมบล็อกไปยังที่อยู่ของผู้โจมตี ในกรณีการกำหนดค่าบางรูปแบบที่ใช้ external signer ความเสี่ยงอาจสูงขึ้น

ทีม Teku ระบุว่าโหนด Teku บน Ethereum mainnet ที่ใช้การกำหนดค่าเริ่มต้นไม่ได้รับผลกระทบ ไม่จำเป็นต้องดำเนินการใดๆ และยังไม่มีรายงานการถูกใช้ประโยชน์จากช่องโหว่ สำหรับผู้ดำเนินการที่รัน Teku หรือ Besu บนโฮสต์โดยตรงโดยไม่ใช้ Docker การอัปเดตไคลเอนต์เพียงอย่างเดียวอาจไม่เพียงพอ จำเป็นต้องอัปเดต Java และรายการใบรับรองที่เชื่อถือได้ด้วยตนเอง ผู้ดำเนินการที่ยังใช้ Java 26 ซึ่งหยุดการบำรุงรักษาแล้ว จำเป็นต้องย้ายไปใช้ Java 25