イーサリアムクライアントがセキュリティアップデートをリリースし、eMudhra証明書の脆弱性を修正、デフォルトのメインネットノードは影響を受けない

BlockBeatsのニュース、10月29日、インドの認証局eMudhraの暗号セキュリティ脆弱性がイーサリアムクライアントTekuとBesuに波及した。研究者は、eMudhra傘下の8つの中間認証局の秘密鍵がランダム性不足により推測可能であることを発見し、攻撃者はこれにより証明書を偽造し、未修正のソフトウェアを騙して悪意のあるサービスを信頼させることができる可能性がある。

Tekuはバージョン26.10.3をリリースし、Besuはバージョン26.10.2をリリースしており、いずれもDockerイメージ内で関連証明書への信頼を削除した。攻撃者が中間者攻撃を実施した場合、一部のバリデータを騙してブロック手数料報酬を攻撃者のアドレスに送信させる可能性があり、外部署名器を使用する特定の構成ではリスクがさらに高まる可能性がある。

Tekuチームは、デフォルト構成のイーサリアムメインネットTekuノードは影響を受けず、対応する必要はなく、現在のところ脆弱性が悪用された報告はないと述べている。TekuまたはBesuをホスト上で直接実行し、Dockerを使用していない運用者の場合、クライアントの更新だけでは不十分な場合があり、Javaおよびその信頼済み証明書リストを手動で更新する必要がある。サポートが終了したJava 26を依然として使用している運用者は、Java 25へ移行する必要がある。