Clientes Ethereum Corrigem Vulnerabilidade Relacionada a Certificados eMudhra

Descoberta da Vulnerabilidade

Um sério problema de segurança decorrente de um erro criptográfico na autoridade certificadora indiana eMudhra impactou o ecossistema do Ethereum. Essa vulnerabilidade poderia ter permitido que atacantes redirecionassem recompensas de blocos de validadores para seus próprios endereços. A falha foi descoberta em 17 de outubro de 2023, quando foi revelado que chaves privadas de oito das autoridades certificadoras intermediárias da eMudhra foram geradas com aleatoriedade insuficiente, permitindo uma possível exploração.

Atualizações Lançadas

Em resposta à vulnerabilidade, Teku, um cliente utilizado por muitos validadores do Ethereum, lançou a versão 26.10.3 em 24 de outubro de 2023. A Besu seguiu o exemplo com a versão 26.10.2 em 23 de outubro de 2023. Ambas as atualizações impedem que o software confie nos certificados comprometidos da eMudhra em suas imagens Docker. Os validadores dependem desses certificados para garantir uma comunicação segura com serviços pela internet.

Quem é Afetado

Embora os nós padrão da mainnet permaneçam inalterados e não exijam ação, operadores que executam Teku ou Besu diretamente em suas máquinas devem atualizar manualmente suas instalações do Java, uma vez que as atualizações do software Ethereum não alteram a lista de certificados confiáveis do Java. Aqueles que ainda utilizam a versão 26 do Java precisarão reverter para a versão 25, já que a Teku indicou que a versão 26 não é mais suportada e não receberá correção.

Implicações para Validadores

Se explorada, um atacante poderia se passar por um serviço conectado a um validador, permitindo que ele propusesse blocos que redirecionassem recompensas para seu endereço. Felizmente, a Teku relatou que nenhuma exploração foi detectada até o momento, e a questão foi inicialmente sinalizada pela Consensys Diligence, parceira de segurança da Teku.