26 октября компания Consensys опубликовала рекомендации по безопасности для операторов Besu, Teku и Web3Signer, предупредив, что скомпрометированные ключи сертификатов eMudhra могут подвергнуть некоторые конфигурации риску подмены сервера или несанкционированных запросов на подпись от валидаторов.

В этих уведомлениях указывается на общую проблему: по умолчанию Java не проверяет отзыв сертификатов. Поэтому, устаревшие версии программного обеспечения, включая те, которые включены в образы Docker, используемые в этих продуктах, могут принимать сертификаты, подделанные с использованием скомпрометированных ключей. Команды разработчиков выявили, что образы Docker по-прежнему доверяют корневому центру сертификации emSign ECC Root CA - G3.

Уязвимость зависит от конфигурации. Команды разработчиков сообщают, что стандартные узлы Besu, стандартные узлы Teku для основной сети и стандартные настройки Web3Signer не подвержены этой проблеме и не требуют никаких действий. Стандартные настройки не включают опциональные параметры TLS и удаленные сервисы HTTPS; стандартная конфигурация Web3Signer также использует локально хранящиеся ключи. Во всех трех уведомлениях говорится, что случаи эксплуатации этой уязвимости не были зафиксированы.