Ethereum istemcisi, eMudhra sertifika güvenlik açığını gideren bir güvenlik güncellemesi yayınladı; varsayılan ana ağ düğümleri etkilenmiyor.

BlockBeats haberine göre, 29 Ekim'de Hindistan sertifika otoritesi eMudhra'nın kriptografik güvenlik açığı Ethereum istemcileri Teku ve Besu'yu etkiledi. Araştırmacılar, eMudhra'ya bağlı 8 ara sertifika otoritesinin özel anahtarlarının yetersiz rastgelelik nedeniyle tahmin edilebileceğini, saldırganların bu sayede sertifika sahteleyebileceğini ve yamalanmamış yazılımları kötü amaçlı hizmetlere güvenmeye kandırabileceğini tespit etti.

Teku 26.10.3 sürümünü, Besu ise 26.10.2 sürümünü yayımladı; her iki sürümde de Docker imajlarından ilgili sertifikalara duyulan güven kaldırıldı. Saldırganların bir ortadaki adam saldırısı gerçekleştirmesi durumunda, bazı doğrulayıcıları blok işlem ücreti ödüllerini saldırganın adresine göndermeye kandırabilir; harici imzalayıcı kullanılan belirli yapılandırmalarda risk daha yüksek olabilir.

Teku ekibi, varsayılan yapılandırmadaki Ethereum ana ağı Teku düğümlerinin etkilenmediğini ve herhangi bir işlem yapılmasına gerek olmadığını, şu ana kadar açığın istismar edildiğine dair bir rapor bulunmadığını belirtti. Teku veya Besu'yu Docker kullanmadan doğrudan ana makinede çalıştıran operatörler için yalnızca istemciyi güncellemek yeterli olmayabilir; Java ve güvenilen sertifika listesinin de manuel olarak güncellenmesi gerekir. Hâlâ bakımı durdurulmuş Java 26'yı kullanan operatörlerin ise Java 25'e geçmesi gerekiyor.