이더리움 클라이언트, eMudhra 인증서 관련 취약점 패치
인공지능이 작성했습니다. 영어에서 자동 번역했습니다.
인도 기업 eMudhra가 발급한 디지털 인증서의 결함으로 공격자가 이더리움 검증자의 블록 보상을 자신의 주소로 리디렉션할 수 있는 가능성이 있었습니다. 이에 따라 Teku와 Besu는 이러한 손상된 인증서에 대한 신뢰를 제거하는 업데이트를 발표했습니다.
취약점 발견
인도 인증 기관 eMudhra의 암호화 오류로 인해 발생한 심각한 보안 문제가 이더리움 생태계에 영향을 미쳤습니다. 이 취약점은 공격자가 검증자의 블록 보상을 자신의 주소로 리디렉션할 수 있게 했을 가능성이 있습니다. 이 결함은 2023년 10월 17일에 발견되었으며, eMudhra의 8개 중간 인증 기관에 대한 개인 키가 충분한 무작위성 없이 생성되었음을 알리면서 잠재적 악용 가능성이 드러났습니다.
업데이트 발표
취약점에 대한 대응으로, 많은 이더리움 검증자들이 사용하는 클라이언트 Teku는 2023년 10월 24일에 버전 26.10.3을 발표했습니다. Besu는 2023년 10월 23일에 버전 26.10.2를 출시했습니다. 두 업데이트 모두 소프트웨어가 손상된 eMudhra 인증서를 Docker 이미지에서 신뢰하지 않도록 방지합니다. 검증자들은 이러한 인증서를 사용하여 인터넷을 통한 서비스와의 안전한 통신을 보장합니다.
영향을 받는 사용자
기본 메인넷 노드는 영향을 받지 않으며 별도의 조치가 필요하지 않지만, Teku 또는 Besu를 직접 자신의 기계에서 운영하는 사용자들은 Java 설치를 수동으로 업데이트해야 합니다. 이더리움 소프트웨어 업데이트는 Java의 신뢰할 수 있는 인증서 목록을 변경하지 않기 때문입니다. 여전히 Java 버전 26을 사용하는 경우, Teku가 더 이상 지원하지 않으며 수정 사항이 제공되지 않을 것이라고 밝혔기 때문에 버전 25로 다운그레이드해야 합니다.
검증자에 대한 영향
악용될 경우, 공격자는 검증자와 연결된 서비스를 가장하여 보상을 자신의 주소로 리디렉션하는 블록을 제안할 수 있습니다. 다행히도 Teku는 현재까지 악용 사례가 발견되지 않았으며, 이 문제는 Teku의 보안 파트너인 Consensys Diligence에 의해 처음으로 경고되었습니다.