Teku et Besu publient des correctifs de sécurité après la compromission du certificat eMudhra

Teku et Besu, logiciels de nœud Ethereum, ont publié des mises à jour de sécurité Docker suite à une compromission d'autorité de certification chez eMudhra. Les opérateurs concernés peuvent mettre à jour leurs conteneurs, tandis que les installations binaires nécessitent une vérification séparée de leur environnement d'exécution Java. Teku 26.10.3, publié le 27 octobre, et Besu 26.10.2, publié le 26 octobre, cessent de faire confiance à quatre racines de certificats compromises. L'exposition de Teku dépend de la configuration ; les nœuds mainnet par défaut sans URL HTTPS ne sont pas affectés. Un attaquant devrait intercepter une connexion HTTPS pour exploiter un environnement d'exécution non corrigé, mais aucune exploitation n'a été signalée. L'incident impliquait des clés privées récupérables pour huit autorités de certification intermédiaires emSign G3, eMudhra reconnaissant une erreur de script ayant produit des clés faibles. Les intermédiaires ont été révoqués après le rapport du 17 octobre. Les opérateurs doivent vérifier leurs environnements d'exécution Java, car l'avis de Teku indique que Java ne vérifie pas la révocation par défaut. Les images Docker de Teku jusqu'à 26.10.2 conservent la racine compromise, et la mise à jour de Java sur l'hôte n'affecte pas l'environnement d'exécution dans ces conteneurs. Besu limite son changement de suppression de racine aux images Docker, tandis que les utilisateurs de tar/zip peuvent encore avoir un JDK qui fait confiance aux racines. Les dépendances HTTPS de Teku incluent des signataires distants et des nœuds de balise, et un environnement d'exécution non corrigé pourrait permettre aux attaquants d'usurper ces services, redirigeant potentiellement les frais de proposition ou provoquant des manquements aux devoirs de validation. L'authentification client TLS mutuelle au niveau du signataire limite l'impact à une déni de service.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.