Два крупнейших клиента Ethereum экстренно выпустили патчи: уязвимость сертификатов могла позволить злоумышленникам перенаправлять вознаграждения валидаторов
- Как сообщают CoinDesk и ChainCatcher 29 октября, клиенты Ethereum Teku (26.10.3, выпущен во вторник) и Besu (26.10.2, выпущен в понедельник) получили экстренные обновления, отзывающие доверие к сертификатам, связанным с индийским центром сертификации eMudhra.
- Причина в том, что 17 октября исследователи обнаружили: закрытые ключи 8 промежуточных центров сертификации eMudhra можно вычислить по открытым сертификатам из-за недостаточной случайности. Злоумышленники могли использовать это для подделки сертификатов и выдавать себя за внешние сервисы, к которым подключаются валидаторы. При определённых настройках, особенно при использовании внешнего подписывающего устройства, это могло позволить перенаправлять награды за блоки на адреса злоумышленников.
- Хорошая новость: команда Teku заявила, что узлы основной сети с настройками по умолчанию не затронуты; фактических случаев эксплуатации пока тоже не обнаружено. 18 октября eMudhra отозвала соответствующие сертификаты и объявила об уходе с рынка сертификационных услуг. Риск заключался в том, что Java по умолчанию не проверяет статус отзыва сертификатов, а прежние образы Docker всё ещё доверяли этим сертификатам.
- Внимание операторам узлов: пользователям Docker достаточно обновить образ; тем, кто запускает бинарные файлы напрямую, также необходимо вручную обновить Java и список доверенных сертификатов. Пользователям устаревшей Java 26 следует перейти на Java 25.
Моя оценка: краткосрочно нейтрально для $ETH , поскольку уязвимость уже исправлена и фактической эксплуатации не выявлено. Но это напоминает рынку: даже «небольшие» уязвимости на уровне инфраструктуры могут затронуть доходы валидаторов, поэтому в краткосрочной перспективе настроения скорее осторожные.
Источник: CoinDesk, ChainCatcher (цитируется Foresight News), заявление команды Teku. BTC — около 80,2 тыс. долларов, ETH — около 2310 долларов. Следующий катализатор — публикация данных PCE/GDP сегодня в 20:30.
#以太坊 #ETH #Кибербезопасность
Нажмите на тег, чтобы посмотреть котировки в реальном времени: вы запускаете узел? Будете ли сразу устанавливать такие обновления безопасности?
- Как сообщают CoinDesk и ChainCatcher 29 октября, клиенты Ethereum Teku (26.10.3, выпущен во вторник) и Besu (26.10.2, выпущен в понедельник) получили экстренные обновления, отзывающие доверие к сертификатам, связанным с индийским центром сертификации eMudhra.
- Причина в том, что 17 октября исследователи обнаружили: закрытые ключи 8 промежуточных центров сертификации eMudhra можно вычислить по открытым сертификатам из-за недостаточной случайности. Злоумышленники могли использовать это для подделки сертификатов и выдавать себя за внешние сервисы, к которым подключаются валидаторы. При определённых настройках, особенно при использовании внешнего подписывающего устройства, это могло позволить перенаправлять награды за блоки на адреса злоумышленников.
- Хорошая новость: команда Teku заявила, что узлы основной сети с настройками по умолчанию не затронуты; фактических случаев эксплуатации пока тоже не обнаружено. 18 октября eMudhra отозвала соответствующие сертификаты и объявила об уходе с рынка сертификационных услуг. Риск заключался в том, что Java по умолчанию не проверяет статус отзыва сертификатов, а прежние образы Docker всё ещё доверяли этим сертификатам.
- Внимание операторам узлов: пользователям Docker достаточно обновить образ; тем, кто запускает бинарные файлы напрямую, также необходимо вручную обновить Java и список доверенных сертификатов. Пользователям устаревшей Java 26 следует перейти на Java 25.
Моя оценка: краткосрочно нейтрально для $ETH , поскольку уязвимость уже исправлена и фактической эксплуатации не выявлено. Но это напоминает рынку: даже «небольшие» уязвимости на уровне инфраструктуры могут затронуть доходы валидаторов, поэтому в краткосрочной перспективе настроения скорее осторожные.
Источник: CoinDesk, ChainCatcher (цитируется Foresight News), заявление команды Teku. BTC — около 80,2 тыс. долларов, ETH — около 2310 долларов. Следующий катализатор — публикация данных PCE/GDP сегодня в 20:30.
#以太坊 #ETH #Кибербезопасность
Нажмите на тег, чтобы посмотреть котировки в реальном времени: вы запускаете узел? Будете ли сразу устанавливать такие обновления безопасности?
