イーサリアムクライアントのTekuとBesu、証明書の脆弱性を修正——攻撃者によるETH報酬窃取を防止

PANews 10月29日付、CoinDeskの報道によると、イーサリアムクライアントのTekuがバージョン26.10.3を、Besuがバージョン26.10.2をリリースし、いずれもDockerイメージ内でインドの認証局eMudhraに関連する証明書を信頼しないようにした。先に研究者が、暗号学的な欠陥によりeMudhraの8つの中間認証局の秘密鍵が推算可能であることを発見していた。Tekuによると、攻撃者がバリデーターとその接続先サービスとの間に位置する場合、そのサービスになりすますことができ、欺かれたバリデーターは手数料を攻撃者のアドレスに支払うブロックを提案する可能性があり、外部署名者を偽造するケースのリスクが最も高いという。Tekuはメインネットのデフォルトノードは影響を受けず、これまでに悪用の報告はないとしている。Dockerを使用せず直接実行している運用者は自身でJavaを更新する必要があり、依然としてJava 26を使用しているユーザーはJava 25へ移行する必要があり、Java 26はすでに保守が終了している。