Deux clients Ethereum déploient des correctifs d’urgence : une faille liée à des certificats aurait pu permettre à des attaquants de détourner les récompenses des validateurs
- Selon CoinDesk et ChainCatcher, le 29 octobre, les clients Ethereum Teku (26.10.3, publié mardi) et Besu (26.10.2, publié lundi) ont déployé des mises à jour d’urgence afin de révoquer la confiance accordée aux certificats liés à l’autorité de certification indienne eMudhra.
- À l’origine du problème : le 17 octobre, des chercheurs ont découvert que les clés privées de 8 autorités de certification intermédiaires d’eMudhra pouvaient être déduites à partir de certificats publics, en raison d’un manque d’aléa. Des attaquants pouvaient ainsi falsifier des certificats et usurper l’identité de services externes auxquels les validateurs se connectent. Dans certaines configurations, notamment avec un signataire externe, ils auraient pu rediriger les récompenses de bloc vers leurs propres adresses.
- Bonne nouvelle : l’équipe Teku indique que les nœuds du réseau principal utilisant la configuration par défaut ne sont pas affectés, et aucune exploitation réelle n’a été constatée à ce jour. eMudhra a révoqué les certificats concernés le 18 octobre et annoncé son retrait du secteur des certificats. Le risque vient du fait que Java ne vérifie pas par défaut l’état de révocation ; les images Docker continuaient donc à faire confiance à ces certificats.
- À l’attention des opérateurs de nœuds : les utilisateurs de Docker n’ont qu’à mettre à jour leur image ; ceux qui exécutent directement les binaires doivent également mettre à jour Java et la liste des certificats de confiance. Les utilisateurs de Java 26, qui n’est plus pris en charge, doivent migrer vers Java 25.
Mon avis : à court terme, sentiment plutôt neutre pour $ETH , car la faille a été corrigée et aucune exploitation réelle n’a été observée. Mais cet incident rappelle au marché que même une « petite » faille au niveau de l’infrastructure peut affecter les revenus des validateurs ; à court terme, le sentiment reste plutôt prudent.
Sources : CoinDesk, ChainCatcher (repris par Foresight News) et communiqué de l’équipe Teku. Le BTC s’échange autour de 80 200 dollars et l’ETH autour de 2 310 dollars ; les données PCE/PIB de ce soir à 20 h 30 constituent le prochain catalyseur.
#以太坊 #ETH #Cybersécurité
Appuyez sur le tag pour consulter les cours en temps réel : vous exploitez un nœud ? Installez-vous immédiatement ce type de correctif de sécurité ?
- Selon CoinDesk et ChainCatcher, le 29 octobre, les clients Ethereum Teku (26.10.3, publié mardi) et Besu (26.10.2, publié lundi) ont déployé des mises à jour d’urgence afin de révoquer la confiance accordée aux certificats liés à l’autorité de certification indienne eMudhra.
- À l’origine du problème : le 17 octobre, des chercheurs ont découvert que les clés privées de 8 autorités de certification intermédiaires d’eMudhra pouvaient être déduites à partir de certificats publics, en raison d’un manque d’aléa. Des attaquants pouvaient ainsi falsifier des certificats et usurper l’identité de services externes auxquels les validateurs se connectent. Dans certaines configurations, notamment avec un signataire externe, ils auraient pu rediriger les récompenses de bloc vers leurs propres adresses.
- Bonne nouvelle : l’équipe Teku indique que les nœuds du réseau principal utilisant la configuration par défaut ne sont pas affectés, et aucune exploitation réelle n’a été constatée à ce jour. eMudhra a révoqué les certificats concernés le 18 octobre et annoncé son retrait du secteur des certificats. Le risque vient du fait que Java ne vérifie pas par défaut l’état de révocation ; les images Docker continuaient donc à faire confiance à ces certificats.
- À l’attention des opérateurs de nœuds : les utilisateurs de Docker n’ont qu’à mettre à jour leur image ; ceux qui exécutent directement les binaires doivent également mettre à jour Java et la liste des certificats de confiance. Les utilisateurs de Java 26, qui n’est plus pris en charge, doivent migrer vers Java 25.
Mon avis : à court terme, sentiment plutôt neutre pour $ETH , car la faille a été corrigée et aucune exploitation réelle n’a été observée. Mais cet incident rappelle au marché que même une « petite » faille au niveau de l’infrastructure peut affecter les revenus des validateurs ; à court terme, le sentiment reste plutôt prudent.
Sources : CoinDesk, ChainCatcher (repris par Foresight News) et communiqué de l’équipe Teku. Le BTC s’échange autour de 80 200 dollars et l’ETH autour de 2 310 dollars ; les données PCE/PIB de ce soir à 20 h 30 constituent le prochain catalyseur.
#以太坊 #ETH #Cybersécurité
Appuyez sur le tag pour consulter les cours en temps réel : vous exploitez un nœud ? Installez-vous immédiatement ce type de correctif de sécurité ?
