Des clients Ethereum corrigent une faille qui pourrait rediriger les récompenses ETH

Les développeurs des clients Ethereum Teku et Besu ont publié des mises à jour de sécurité pour corriger une vulnérabilité de certificat qui pourrait permettre aux attaquants d'usurper des services utilisés par les validateurs et potentiellement de rediriger leurs récompenses de bloc.

Résumé

• Les clients Ethereum Teku et Besu ont publié des mises à jour de sécurité après qu'une vulnérabilité de certificat a été découverte, permettant aux attaquants de rediriger les récompenses de bloc des validateurs vers leurs propres adresses.
• La vulnérabilité provenait de clés cryptographiques faibles associées à huit autorités de certification gérées par la société indienne eMudhra, ce qui pourrait permettre aux attaquants de créer des certificats frauduleux.
• Teku a averti que les attaquants pourraient usurper des services externes utilisés par les validateurs Ethereum et manipuler des propositions de bloc ou obtenir des signatures sensibles de validateurs sous certaines configurations.
• Les configurations par défaut du réseau principal de Teku n'ont pas été affectées, et les développeurs ont confirmé qu'aucune exploitation de la vulnérabilité n'avait été signalée.
• Les opérateurs utilisant des installations autonomes de Teku ou Besu doivent mettre à jour leurs environnements Java séparément, car les dernières corrections d'image Docker ne mettent pas automatiquement à jour les certificats Java installés localement.

Selon les avis de sécurité accompagnant les publications, le problème provenait de clés d'autorité de certification compromises appartenant au fournisseur indien de certificats numériques eMudhra, qui laissait certaines configurations de nœuds Ethereum exposées à des connexions HTTPS falsifiées.

Teku a publié la version 26.10.3 le 27 octobre, tandis que Besu a introduit la version 26.10.2 un jour plus tôt. Les deux mises à jour suppriment la confiance dans les certificats eMudhra affectés de leurs images Docker, que les opérateurs utilisent pour déployer et exécuter le logiciel de nœud Ethereum.

La vulnérabilité pourrait affecter les validateurs qui dépendent de services externes pour signer des transactions, communiquer avec des nœuds de balise ou recevoir des informations sur la construction de blocs. Un attaquant devrait intercepter une connexion affectée et présenter un certificat falsifié que le logiciel du validateur accepterait comme légitime.

Les développeurs de Teku ont confirmé que les configurations par défaut du réseau principal n'avaient pas été affectées et ont déclaré qu'aucune exploitation de la vulnérabilité n'avait été signalée.

La faille de sécurité d'Ethereum retracée à des certificats eMudhra compromis

Le problème de sécurité a commencé par une erreur cryptographique impliquant huit autorités de certification intermédiaires gérées par eMudhra, dont les clés privées se sont avérées avoir été générées avec une randomisation insuffisante.

Les chercheurs ont identifié le problème le 17 octobre, découvrant que les clés privées pouvaient être récupérées mathématiquement à partir d'informations disponibles dans les certificats publics.

Selon un avis de sécurité du 26 octobre de Microsoft, six des certificats affectés étaient utilisés pour sécuriser les connexions Internet, tandis que les deux autres étaient associés à la signature de code.

Les clés compromises pourraient permettre à quelqu'un de créer des certificats qui semblaient authentiques pour les applications qui continuaient de faire confiance aux autorités de certification affectées.

eMudhra a révoqué les certificats intermédiaires affectés le 18 octobre, tandis que les fournisseurs de technologie ont commencé à retirer la confiance dans les chaînes de certificats compromises de leurs logiciels.

Microsoft a ensuite bloqué les autorités de certification affectées par le biais d'une mise à jour de sécurité Windows le 20 octobre et a publié une autre mise à jour le 26 octobre pour retirer sept certificats associés de sa liste de confiance.

Cependant, le problème est resté pertinent pour Ethereum car Teku et Besu utilisent Java, dont la validation des certificats ne vérifie pas l'état de révocation par défaut.

En conséquence, les installations Java affectées pourraient continuer à accepter des certificats associés aux autorités compromises même après leur révocation.

Comment les attaquants pourraient rediriger les récompenses des validateurs Ethereum

L'avis de sécurité de Teku a identifié plusieurs scénarios d'attaque possibles impliquant des validateurs qui communiquent avec des services externes via des connexions HTTPS.

Un scénario implique un attaquant se faisant passer pour un nœud de balise distant utilisé par un validateur pour coordonner ses tâches sur Ethereum.

Si l'attaquant intercepte avec succès la connexion et présente un certificat falsifié, le validateur pourrait recevoir des informations manipulées sur le bloc qu'il se préparait à proposer.

Selon Teku, une telle attaque pourrait amener un validateur à proposer un bloc qui dirige les frais de transaction vers une adresse contrôlée par l'attaquant.

L'avis a identifié les services de signature externes comme un autre composant potentiellement exposé. Ces services détiennent les clés de signature des validateurs séparément du logiciel principal du nœud et fournissent des signatures sur demande.

Un attaquant se faisant passer pour un signataire externe pourrait potentiellement obtenir des signatures associées aux sorties des validateurs, en fonction de la configuration et des protections disponibles.

Teku a classé ce scénario comme particulièrement grave, bien que les configurations utilisant l'authentification mutuelle TLS pourraient limiter les conséquences à une déni de service.

D'autres connexions potentiellement affectées incluent les clients d'exécution, les constructeurs de blocs, les relais et les services utilisés pour récupérer les informations de configuration des validateurs.

La vulnérabilité n'a pas affecté les protocoles de mise en réseau pair-à-pair sous-jacents d'Ethereum, qui ne dépendent pas des autorités de certification compromises.

Teku et Besu publient des correctifs pour les nœuds Ethereum affectés

Suite à la divulgation, Teku a publié la version 26.10.3 pour supprimer quatre racines de certificats de ses images Docker, y compris emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 et AAA Certificate Services.

Besu a introduit les mêmes suppressions de certificats dans la version 26.10.2, abordant le risque pour les opérateurs utilisant ses images Docker mises à jour.

Cependant, les versions ne mettent pas automatiquement à jour les installations Java maintenues séparément par les opérateurs de nœuds.

Les utilisateurs exécutant Teku ou Besu via des distributions binaires autonomes doivent vérifier leur runtime Java installé et mettre à jour ses certificats de confiance si nécessaire.

Teku a averti que les opérateurs utilisant encore Java 26 devraient migrer vers Java 25 car la première version avait atteint la fin de sa vie et ne recevrait pas le correctif requis.

L'avis a également identifié certaines configurations de testnet comme potentiellement exposées, y compris les configurations qui téléchargent leur état initial de blockchain via HTTPS.

Les mises à jour de sécurité font suite à d'autres préoccupations récentes concernant l'infrastructure des validateurs Ethereum. Plus tôt ce mois-ci, crypto.news a rapporté que MetaMask avait commencé à sortir des validateurs affectés suite à un autre incident de sécurité d'infrastructure divulgué le 30 septembre.

Plus récemment, les développeurs d'Ethereum ont corrigé un défaut de dépôt de validateur dans la mise à niveau Glamsterdam à venir après que des chercheurs ont identifié un scénario où des comptes de constructeurs pouvaient recevoir de l'ETH destiné aux validateurs.

La mise à niveau Glamsterdam a également rencontré des retards après que les développeurs ont reporté son activation de testnet Hoodi pour enquêter sur des préoccupations de compatibilité des contrats intelligents impliquant l'EIP-8037.

Le report du 26 octobre a supprimé l'activation prévue des changements d'exécution d'Amsterdam et des changements de consensus de Gloas, ainsi qu'une augmentation proposée de la limite de gaz de Hoodi à 200 millions. Les développeurs d'Ethereum n'ont pas annoncé de date d'activation de remplacement.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.