Correction d'une faille du client Ethereum qui aurait pu rediriger les récompenses des attaquants.
Les équipes clientes d'Ethereum ont publié des mises à jour de sécurité après qu'une vulnérabilité d'authentification ait créé un moyen possible de rediriger les récompenses de blocage d'authentification.
Les clients concernés ne le sont pas et s'embrassent.
Le problème provient de l’extérieur d’Ethereum, dans la CA eMudhra, où les chercheurs ont découvert que les clés privées derrière huit autorités de certification intermédiaires étaient dangereusement faiblement randomisées.
Un attaquant capable d'exploiter ces informations d'identification pourrait usurper l'identité des services utilisés par certains authentifiants.
Dans les pires configurations, cela peut permettre à un validateur de signer des données qui redirigent une récompense de bloc vers une adresse contrôlée par un attaquant.
Teku a publié la version 26.10.3 et Besu a publié la version 26.10.2 pour ne plus faire confiance aux certificats affectés par leurs images Docker.
Important : Les nœuds non-MAINNET par défaut n'ont pas été affectés et il n'existe actuellement aucun rapport sur la vulnérabilité exploitée.
Les opérateurs utilisant les configurations Docker concernées doivent mettre à jour, tandis que certaines installations qui exécutent directement Java nécessitent également une mise à jour Java.
La sécurité d'Ethereum ne s'arrête pas aux contrats intelligents.
Les logiciels, les certificats et l'infrastructure autour de l'authentification sont trop importants.