イーサリアムクライアント、eMudhra証明書に関連する脆弱性を修正

脆弱性の発見

インドの証明書機関eMudhraにおける暗号的なエラーから生じた深刻なセキュリティ問題が、イーサリアムのエコシステムに影響を及ぼしました。この脆弱性により、攻撃者がバリデーターから自分のアドレスにブロック報酬を転送することが可能になる恐れがありました。この欠陥は2023年10月17日に発見され、eMudhraの8つの中間証明書機関のプライベートキーが不十分なランダム性で生成されていたことが明らかになりました。

アップデートのリリース

この脆弱性に対応して、多くのイーサリアムバリデーターに使用されているクライアントTekuは、2023年10月24日にバージョン26.10.3をリリースしました。Besuも2023年10月23日にバージョン26.10.2を発表しました。両方のアップデートは、Dockerイメージ内の危険にさらされたeMudhra証明書への信頼を排除します。バリデーターは、インターネット上のサービスとの安全な通信を確保するためにこれらの証明書に依存しています。

影響を受ける人々

デフォルトのメインネットノードは影響を受けず、特にアクションは必要ありませんが、TekuまたはBesuを自分のマシンで直接実行しているオペレーターは、Javaのインストールを手動で更新する必要があります。イーサリアムのソフトウェアアップデートは、Javaの信頼された証明書のリストを変更しないためです。Javaバージョン26を使用している人は、Tekuがバージョン26はもはやサポートされておらず、修正が提供されないことを示しているため、バージョン25にダウングレードする必要があります。

バリデーターへの影響

もし悪用された場合、攻撃者はバリデーターに接続されたサービスを偽装し、自分のアドレスに報酬を転送するブロックを提案することが可能になります。幸いなことに、Tekuはこれまでのところ悪用が検出されていないと報告しており、この問題はTekuのセキュリティパートナーであるConsensys Diligenceによって最初に指摘されました。