Máy khách Ethereum phát hành bản cập nhật bảo mật, khắc phục lỗ hổng chứng chỉ eMudhra, các nút mạng chính mặc định không bị ảnh hưởng

Tin tức BlockBeats, ngày 29 tháng 10, lỗ hổng bảo mật mã hóa của tổ chức cấp chứng chỉ Ấn Độ eMudhra đã ảnh hưởng đến các ứng dụng khách Ethereum Teku và Besu. Các nhà nghiên cứu phát hiện ra rằng khóa riêng của 8 tổ chức cấp chứng chỉ trung gian thuộc eMudhra có thể bị suy đoán do tính ngẫu nhiên không đủ, từ đó kẻ tấn công có thể giả mạo chứng chỉ và lừa phần mềm chưa được vá tin tưởng vào các dịch vụ độc hại.

Teku đã phát hành phiên bản 26.10.3, Besu đã phát hành phiên bản 26.10.2, cả hai đều loại bỏ sự tin tưởng đối với các chứng chỉ liên quan trong hình ảnh Docker. Nếu kẻ tấn công thực hiện tấn công trung gian, có thể lừa một số trình xác thực gửi phần thưởng phí giao dịch khối đến địa chỉ của kẻ tấn công; trong cấu hình cụ thể sử dụng trình ký bên ngoài, rủi ro có thể cao hơn.

Nhóm Teku cho biết, các nút Teku trên mạng chính Ethereum với cấu hình mặc định không bị ảnh hưởng, không cần thực hiện hành động nào, hiện chưa có báo cáo về việc lỗ hổng bị khai thác. Đối với các nhà vận hành chạy trực tiếp Teku hoặc Besu trên máy chủ, không sử dụng Docker, chỉ cập nhật ứng dụng khách có thể không đủ, mà còn cần cập nhật thủ công Java và danh sách chứng chỉ tin cậy của nó. Những nhà vận hành vẫn đang sử dụng Java 26 đã ngừng bảo trì cần chuyển sang Java 25.