По информации BlockBeats, 29 октября, уязвимость в системе криптографической безопасности индийской организации по выдаче сертификатов eMudhra затронула клиенты Ethereum Teku и Besu. Исследователи обнаружили, что закрытые ключи восьми промежуточных органов сертификации, принадлежащих eMudhra, могли быть скомпрометированы из-за недостаточной случайности, что позволяло злоумышленникам подделывать сертификаты и обманывать программное обеспечение, не получившее обновления, заставляя его доверять вредоносным сервисам.

Teku выпустил версию 26.10.3, а Besu – версию 26.10.2. В обоих случаях, доверие к соответствующим сертификатам было удалено из образов Docker. В случае реализации атаки "человек посередине", злоумышленник может обманом заставить часть валидаторов отправлять вознаграждения за транзакции в свой адрес. В определенных конфигурациях с использованием внешних подписывающих устройств, риск может быть выше.

Команда Teku заявила, что основные узлы сети Ethereum, работающие с Teku в конфигурации по умолчанию, не затронуты, и никаких действий не требуется. На данный момент нет сообщений об использовании этой уязвимости. Для операторов, запускающих Teku или Besu непосредственно на хосте, а не через Docker, простого обновления клиента может быть недостаточно. Необходимо также вручную обновить Java и список доверенных сертификатов. Операторы, использующие Java 26, поддержка которой прекращена, должны перейти на Java 25.