Teku и Besu исправили уязвимость с сертификатами в Docker-образах после инцидента eMudhra

Команды Teku и Besu, разрабатывающие программное обеспечение для узлов Ethereum, выпустили исправления безопасности для Docker-образов после инцидента с удостоверяющим центром eMudhra. Teku 26.10.3 вышла 27 октября, Besu 26.10.2 — днём раньше. Оба обновления убирают доверие к четырём корневым сертификатам: emSign ECC Root CA — G3, emSign Root CA — G1, emSign Root CA — G2 и AAA Certificate Services.

Причина — скомпрометированные закрытые ключи восьми промежуточных сертификатов emSign G3. В eMudhra признали ошибку в скрипте, из-за которой появились слабые ключи, и отозвали промежуточные сертификаты после сообщения об этом 17 октября.

Разработчики Teku уточняют: по умолчанию Java не проверяет отзыв сертификатов, поэтому даже после отзыва непатченные среды остаются уязвимыми. Степень риска для Teku зависит от конфигурации: ноды мейннета без HTTPS-подключений инцидент не затрагивает. В уведомлении команды говорится, что случаев эксплуатации уязвимости не зафиксировано.

Обновлённые образы меняют список доверенных сертификатов внутри контейнера, но на бинарные установки это не влияет. Там работает отдельная Java-среда хоста, которую операторам нужно проверять и чинить самостоятельно. У Besu похожая оговорка касается tar- и zip-сборок: в них может остаться JDK, доверяющий скомпрометированным корням.

Среди возможных последствий — перехват HTTPS-соединений с удалёнными узлами подписи, узлами-получателями блоков, исполнительными клиентами, билдерами и релеями. Это может привести к перенаправлению комиссий за предложение блоков или пропуску обязанностей валидатора. Атака на внешний подписывающий сервис теоретически позволяет получить подписи для выхода валидатора, но взаимная TLS-аутентификация сводит последствия к отказу в обслуживании. Сети Sepolia, Hoodi и Ephemery инцидент затрагивает при загрузке стартового состояния через HTTPS с пустой базой данных.