開発者が修正を急いでいる中、インドの認証会社のセキュリティ障害がイーサリアムに打撃を与える

Teku と Besu が動作するプログラミング言語である Java は、デフォルトでは証明書が失効しているかどうかをチェックしません。そのため、ブラウザが証明書をドロップした後でも、Teku の Docker イメージは不正な証明書を信頼し続けました。

バリデーターが損失を被る仕組み

攻撃者がバリデーターとバリデーターが接続するサービスの間に位置すると、そのサービスになりすます可能性があります。 Tekuはセキュリティ勧告の中で、この方法でだまされたバリデーターが攻撃者のアドレスに料金を支払うブロックを提案する可能性があると述べた。

偽の外部署名者（バリデーターのキーを保持する別のサービス）は、報酬の行き先を変更するために使用される署名を引き渡す可能性があり、Teku はこれを最も危険な設定としてランク付けしました。

「メインネット上のデフォルトの Teku ノードは影響を受けず、対応の必要はない」とチームは書いており、「悪用は報告されていない」と付け加えた。 Teku のセキュリティ パートナーである Consensys Diligence は、最初にこの問題を報告しました。

Docker を使用せずに自分のマシン上で Teku または Besu を直接実行するオペレーターは、Ethereum ソフトウェアを更新しても Java の信頼できる証明書のリストには影響しないため、Java を自分で更新する必要があります。新しい Docker イメージは、ホストにインストールされている Java も修正しません。

ただし、まだ Java 26 を使用している人には、より困難な修正が必要です。 Teku氏は、このバージョンはサポートが終了しており、パッチ適用されたビルドは提供されないため、これらのオペレーターはJava 25に移行する必要があると述べた。