Разработчики клиентов Ethereum, Teku и Besu, выпустили обновления безопасности для устранения уязвимости, связанной с сертификатами, которая могла позволить злоумышленникам имитировать сервисы, используемые валидаторами, и, возможно, перенаправлять их вознаграждения за блоки.

Согласно предупреждениям о безопасности, сопровождающим выпуски, проблема возникла из-за скомпрометированных ключей удостоверяющих центров, принадлежащих индийскому поставщику цифровых сертификатов eMudhra, что сделало определенные конфигурации узлов Ethereum уязвимыми для поддельных HTTPS-соединений.

Teku выпустил версию 26.10.3 27 октября, а Besu представил версию 26.10.2 за день до этого. Оба обновления удаляют доверие к затронутым сертификатам eMudhra из своих Docker-образов, которые операторы используют для развертывания и запуска программного обеспечения узлов Ethereum.

Уязвимость могла затронуть валидаторов, которые полагаются на внешние сервисы для подписи транзакций, взаимодействия с beacon-узлами или получения информации для формирования блоков. Злоумышленнику потребовалось бы перехватить затронутое соединение и предоставить поддельный сертификат, который программное обеспечение валидатора приняло бы за действительный.

Разработчики Teku подтвердили, что стандартные конфигурации основной сети не были затронуты, и заявили, что не было зафиксировано случаев эксплуатации этой уязвимости.

Уязвимость безопасности Ethereum связана со скомпрометированными сертификатами eMudhra

Проблема безопасности началась с криптографической ошибки, связанной с восемью промежуточными удостоверяющими центрами, управляемыми eMudhra, у которых, как оказалось, закрытые ключи были сгенерированы с использованием недостаточной случайности.

Исследователи выявили проблему 17 октября, обнаружив, что закрытые ключи можно математически восстановить из информации, доступной в открытых сертификатах.

Согласно предупреждению о безопасности от Microsoft, опубликованному 26 октября, шесть из затронутых сертификатов использовались для защиты интернет-соединений, а оставшиеся два — для подписи кода.

Скомпрометированные ключи могли позволить кому-либо создавать сертификаты, которые казались бы подлинными для приложений, продолжающих доверять затронутым удостоверяющим центрам.

Компания eMudhra отозвала затронутые промежуточные сертификаты 18 октября, в то время как технологические компании начали удалять доверие к скомпрометированным цепочкам сертификатов из своего программного обеспечения.

Впоследствии Microsoft заблокировала затронутые удостоверяющие центры с помощью обновления безопасности Windows 20 октября и выпустила еще одно обновление 26 октября, чтобы удалить семь связанных сертификатов из своего списка доверенных.

Однако эта проблема оставалась актуальной для Ethereum, поскольку Teku и Besu используют Java, у которой проверка сертификатов по умолчанию не проверяет статус отзыва.

В результате, затронутые установки Java могли продолжать принимать сертификаты, связанные со скомпрометированными удостоверяющими центрами, даже после их отзыва.

Как злоумышленники могут перенаправить вознаграждения валидаторов Ethereum

В своем анализе безопасности компания Teku выявила несколько возможных сценариев атак, связанных с валидаторами, которые взаимодействуют с внешними сервисами через HTTPS-соединения.

Один из сценариев предполагает, что злоумышленник выдает себя за удаленный beacon-узел, используемый валидатором для координации его работы в сети Ethereum.

Если злоумышленнику удастся перехватить соединение и предоставить поддельный сертификат, валидатор может получить искаженную информацию о блоке, который он собирается предложить.

По словам Teku, такая атака может привести к тому, что валидатор предложит блок, который перенаправляет комиссии за транзакции на адрес, контролируемый злоумышленником.

Возможно, вам также будет интересно: Stellar запускает кросс-чейн обмен сообщениями с Ethereum через VIA Labs

В анализе безопасности также были указаны внешние сервисы подписи как еще один потенциально уязвимый компонент. Эти сервисы хранят ключи подписи валидаторов отдельно от основного программного обеспечения и предоставляют подписи по запросу.

Злоумышленник, выдающий себя за внешний сервис подписи, потенциально может получить подписи, связанные с выходом валидатора из сети, в зависимости от конфигурации и доступных мер защиты.

Компания Teku классифицировала этот сценарий как особенно серьезный, хотя конфигурации, использующие взаимную аутентификацию TLS, могут ограничить последствия до отказа в обслуживании.

Другие потенциально уязвимые соединения включают клиентские приложения для выполнения транзакций, сервисы для создания блоков, ретрансляторы и сервисы, используемые для получения информации о конфигурации валидатора.

Эта уязвимость не затронула базовые протоколы peer-to-peer сети Ethereum, которые не зависят от скомпрометированных центров сертификации.

Teku и Besu выпустили обновления для устранения уязвимостей в Ethereum-узлах

После публикации информации об уязвимости компания Teku выпустила версию 26.10.3, в которой были удалены четыре корневых сертификата из образов Docker, включая emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 и AAA Certificate Services.

Компания Besu внесла аналогичные изменения, удалив эти сертификаты в версии 26.10.2, чтобы устранить риск для пользователей, использующих обновленные образы Docker.

Однако эти обновления не обновляют автоматически установленные версии Java, которые управляются отдельно операторами узлов.

Пользователи, использующие Teku или Besu через автономные двоичные дистрибутивы, должны проверить установленную версию Java и обновить ее доверенные сертификаты, если это необходимо.

Компания Teku предупредила, что операторам, которые все еще используют Java 26, необходимо перейти на Java 25, поскольку эта версия достигла конца своего жизненного цикла и не будет получать необходимые исправления.

В анализе безопасности также были указаны определенные конфигурации тестовых сетей, которые потенциально могут быть уязвимы, включая системы, которые загружают начальное состояние блокчейна через HTTPS.

Обновления безопасности стали следствием недавних проблем, связанных с инфраструктурой валидаторов Ethereum. В начале этого месяца портал crypto.news сообщал о том, что MetaMask начала прекращать сотрудничество с затронутыми валидаторами, после инцидента, связанного с безопасностью инфраструктуры, о котором было объявлено 30 сентября.

Недавно разработчики Ethereum исправили ошибку, связанную с внесением депозитов валидаторами, в рамках предстоящего обновления Glamsterdam, после того как исследователи выявили ситуацию, при которой учетные записи "строителей" могли получать ETH, предназначенные для валидаторов.

Отдельно, обновление Glamsterdam столкнулось с задержками, поскольку разработчики отложили активацию тестовой сети Hoodi, чтобы изучить вопросы совместимости смарт-контрактов, связанные с EIP-8037.

Отсрочка, объявленная 26 октября, отменила запланированную активацию как изменений в механизме выполнения Amsterdam, так и изменений в консенсусе Gloas, а также предлагаемое увеличение лимита газа для Hoodi до 200 миллионов. Разработчики Ethereum пока не объявили о новой дате активации.