以太坊客户端修复可能重定向ETH奖励的漏洞

以太坊客户端开发者Teku和Besu已发布安全更新，以解决一个证书漏洞，该漏洞可能允许攻击者冒充验证者使用的服务，并可能重定向他们的区块奖励。

摘要

• 以太坊客户端Teku和Besu在发现一个证书漏洞后发布了安全更新，该漏洞可能允许攻击者将验证者的区块奖励重定向到他们自己的地址。
• 该漏洞源于与印度公司eMudhra运营的八个证书颁发机构相关的弱加密密钥，这可能允许攻击者创建欺诈性证书。
• Teku警告称，攻击者可能冒充以太坊验证者使用的外部服务，并在某些配置下操纵区块提案或获取敏感的验证者签名。
• 默认的Teku主网配置未受到影响，开发者确认尚未报告该漏洞的利用情况。
• 使用独立Teku或Besu安装的操作员必须单独更新他们的Java环境，因为最新的Docker镜像修复不会自动更新本地安装的Java证书。

根据随更新发布的安全建议，该问题源于印度数字证书提供商eMudhra的证书颁发机构密钥被攻破，这使得某些以太坊节点配置暴露于伪造的HTTPS连接。

Teku于10月27日发布了版本26.10.3，而Besu在前一天推出了版本26.10.2。这两个更新从其Docker镜像中移除了对受影响的eMudhra证书的信任，操作员使用这些镜像来部署和运行以太坊节点软件。

该漏洞可能影响依赖外部服务进行交易签名、与信标节点通信或接收区块构建信息的验证者。攻击者需要拦截受影响的连接，并提供一个伪造的证书，使验证者的软件将其视为合法。

Teku的开发者确认默认的主网配置未受到影响，并表示尚未报告该漏洞的利用情况。

以太坊安全漏洞追溯至被攻破的eMudhra证书

安全问题始于涉及eMudhra运营的八个中间证书颁发机构的加密错误，这些机构的私钥被发现是使用不足的随机性生成的。

研究人员在10月17日识别出该问题，发现私钥可以从公共证书中可用的信息中数学上恢复。

根据微软10月26日的安全建议，六个受影响的证书用于保护互联网连接，而其余两个与代码签名相关。

被攻破的密钥可能允许某人创建对继续信任受影响证书颁发机构的应用程序看起来真实的证书。

eMudhra于10月18日撤销了受影响的中间证书，而技术提供商开始从其软件中移除对被攻破证书链的信任。

微软随后通过10月20日的Windows安全更新阻止了受影响的证书颁发机构，并在10月26日发布了另一个更新，从其受信任列表中移除七个相关证书。

然而，该问题仍然与以太坊相关，因为Teku和Besu使用Java，而Java的证书验证默认不检查撤销状态。

因此，受影响的Java安装可能在撤销后继续接受与被攻破的机构相关的证书。

攻击者如何重定向以太坊验证者奖励

Teku的安全建议识别了几个可能的攻击场景，涉及通过HTTPS连接与外部服务通信的验证者。

一个场景涉及攻击者冒充验证者使用的远程信标节点，以协调其在以太坊上的职责。

如果攻击者成功拦截了连接并呈现伪造的证书，验证者可能会收到关于其准备提议的区块的被操控信息。

根据Teku的说法，这种攻击可能导致验证者提议一个将交易费用导向攻击者控制的地址的区块。

该建议还指出，外部签名服务是另一个可能暴露的组件。这些服务将验证者签名密钥与主节点软件分开存储，并在请求时提供签名。

冒充外部签名者的攻击者可能会根据配置和可用保护措施，获得与验证者退出相关的签名。

Teku将这一场景归类为特别严重，尽管使用互相TLS认证的配置可以将后果限制为拒绝服务。

其他可能受影响的连接包括执行客户端、区块构建者、中继和用于检索验证者配置信息的服务。

该漏洞并未影响以太坊的基础点对点网络协议，这些协议不依赖于被破坏的证书颁发机构。

Teku和Besu发布针对受影响以太坊节点的修复

在披露之后，Teku发布了版本26.10.3，从其Docker镜像中移除了四个证书根，包括emSign ECC Root CA G3、emSign Root CA G1、emSign Root CA G2和AAA Certificate Services。

Besu在版本26.10.2中引入了相同的证书移除，解决了使用其更新Docker镜像的操作员的风险。

然而，这些发布不会自动更新由节点操作员单独维护的Java安装。

通过独立二进制分发运行Teku或Besu的用户必须检查其安装的Java运行时，并在必要时更新其受信任的证书。

Teku警告说，仍在使用Java 26的操作员需要迁移到Java 25，因为前者版本已达到生命周期结束，将不会收到所需的补丁构建。

该建议进一步指出某些测试网配置可能暴露，包括通过HTTPS下载其初始区块链状态的设置。

这些安全更新跟随了近期涉及以太坊验证者基础设施的其他担忧。本月早些时候，crypto.news报道MetaMask已开始退出受影响的验证者，原因是9月30日披露的另一个基础设施安全事件。

更近期，以太坊开发者在即将到来的Glamsterdam升级中修正了验证者存款缺陷，此前研究人员发现构建者账户可能会收到原本用于验证者的ETH。

Glamsterdam升级在开发者推迟其Hoodi测试网激活以调查涉及EIP-8037的智能合约兼容性问题后，面临单独的延迟。

10月26日的推迟取消了阿姆斯特丹执行更改和Gloas共识更改的计划激活，以及将Hoodi的气体限制提高到2亿的提议。以太坊开发者尚未宣布替代激活日期。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。