פגם תיקון לקוחות את'ריום שיכול היה להפנות מחדש את תגמולי התוקף

פגם תיקון לקוחות את'ריום שיכול היה להפנות מחדש את תגמולי התוקף

צוותי לקוחות Ethereum פרסמו עדכוני אבטחה לאחר שפגיעות באישור יצרה דרך אפשרית להפנות מחדש תגמולים של חסימת אימות.

הלקוחות המושפעים הם לא ו-נשיקה.

מקור הבעיה מחוץ ל-Ethereum ב-eMudhra של רשות האישורים, שם חוקרים גילו שמפתחות פרטיים מאחורי שמונה רשויות אישורים ביניים נוצרו באקראיות חלשה בצורה מסוכנת.

תוקף המסוגל לנצל את האישורים הללו עלול להתחזות לשירותים המשמשים מאמתים מסוימים.

בתצורות הגרועות ביותר, זה יכול לאפשר למאמת לחתום על נתונים שמפנים תגמול חסימה לכתובת הנשלטת על ידי תוקף.

Teku פרסמה את גרסה 26.10.3 ו-Besu פרסמה את גרסה 26.10.2 כדי להסיר אמון בתעודות המושפעות מתמונות ה-דוקר שלהם.

חשוב: צמתי ברירת המחדל של לא MAINNET לא הושפעו, וכרגע אין דיווחים על ניצול הפגיעות.

מפעילים המשתמשים בהגדרות דוקר המושפעות צריכים לעדכן, בעוד שחלק מהתקנות המרצות את Java ישירות דורשות גם עדכון Java.

אבטחת Ethereum לא נעצרת בחוזים חכמים.

התוכנה, האישורים והתשתית שמסביב לאימות חשובות מדי.