Leer en el idioma original (inglés)
Clientes de Ethereum Corrigen Vulnerabilidad Relacionada con Certificados de eMudhra
Redactado con inteligencia artificial. Traducción automática del inglés.
Una falla en los certificados digitales emitidos por la empresa india eMudhra podría haber permitido a los atacantes redirigir las recompensas de bloques de los validadores de Ethereum. En respuesta, Teku y Besu han lanzado actualizaciones para eliminar la confianza en estos certificados comprometidos.
Descubrimiento de la Vulnerabilidad
Un grave problema de seguridad derivado de un error criptográfico en la autoridad certificadora india eMudhra ha impactado el ecosistema de Ethereum. Esta vulnerabilidad podría haber permitido a los atacantes redirigir las recompensas de bloques de los validadores a sus propias direcciones. La falla fue descubierta el 17 de octubre de 2023, cuando se reveló que las claves privadas de ocho de las autoridades certificadoras intermedias de eMudhra se generaron con una aleatoriedad insuficiente, lo que permitía una posible explotación.
Actualizaciones Lanzadas
En respuesta a la vulnerabilidad, Teku, un cliente utilizado por muchos validadores de Ethereum, lanzó la versión 26.10.3 el 24 de octubre de 2023. Besu siguió con la versión 26.10.2 el 23 de octubre de 2023. Ambas actualizaciones evitan que el software confíe en los certificados comprometidos de eMudhra en sus imágenes de Docker. Los validadores dependen de estos certificados para asegurar la comunicación segura con los servicios a través de Internet.
Quiénes Son Afectados
Mientras que los nodos predeterminados de mainnet no se ven afectados y no requieren ninguna acción, los operadores que ejecutan Teku o Besu directamente en sus máquinas deben actualizar manualmente sus instalaciones de Java, ya que las actualizaciones del software de Ethereum no alteran la lista de certificados de confianza de Java. Aquellos que aún utilizan la versión 26 de Java deberán retroceder a la versión 25, ya que Teku ha indicado que la versión 26 ya no es compatible y no recibirá una solución.
Implicaciones para los Validadores
Si se explota, un atacante podría hacerse pasar por un servicio conectado a un validador, lo que les permitiría proponer bloques que redirijan las recompensas a su dirección. Afortunadamente, Teku ha informado que hasta ahora no se ha detectado ninguna explotación, y el problema fue inicialmente señalado por Consensys Diligence, el socio de seguridad de Teku.