Editör: Enver Adıgüzel
Ethereum düğümlerini çalıştırmakta kullanılan Teku ve Besu yazılımları, eMudhra’daki sertifika yetkilisi ihlalinin ardından Docker güvenlik yamalarını yayımladı. Etkilenen imajları kullanan operatörler bu konteynerleri güncelleyebilir. Ancak ikili kurulumları kullananların, Java çalışma zamanlarını ayrıca denetlemesi gerekiyor.
Hangi sürümler ve hangi kökler
Teku 26.10.3, 27 Ekim’de; Besu 26.10.2 ise 26 Ekim’de yayımlandı. Her iki sürüm de Docker imajlarının şu dört sertifika köküne güvenmesini durduruyor: emSign ECC Root CA – G3, emSign Root CA – G1, emSign Root CA – G2 ve AAA Certificate Services.
Teku için maruziyet yapılandırmaya bağlı. Ekibin güvenlik bildirimine göre HTTPS adresi içermeyen varsayılan ana ağ düğümleri bu sorundan etkilenmiyor. Yamasız bir çalışma zamanında saldırganın, etkilenen bir HTTPS bağlantısını ele geçirip uç noktayı taklit etmesi gerekirdi. Bildirimde istismar tespit edilmediği belirtiliyor.
Olayın arka planı
Olayın temelinde, sekiz emSign G3 ara sertifika yetkilisine ait kurtarılabilir özel anahtarlar yer alıyor. eMudhra, zayıf anahtarlar üreten bir betik hatasını kabul etti ve 17 Ekim tarihli raporun ardından ara sertifikaların iptal edildiğini açıkladı. Teku’nun danışmanlığına göre Java, iptal durumunu varsayılan olarak denetlemiyor; bu nedenle etkilenen çalışma zamanlarının ayrıca düzeltilmesi gerekiyor.
Operatörlerin kontrol etmesi gerekenler
Yeni istemci imajları, Java’nın kabul ettiği sertifika yetkililerini içeren paketlenmiş güven depolarını ele alıyor. Teku bildirimine göre 26.10.2 dahil sürümlere ait -jdk25 ve -jdk26 varyantları dahil tüm Docker imajları, ilgili emSign ECC kökünü tutmaya devam ediyor. Ana makinedeki Java’nın güncellenmesi, konteynerlerin içindeki çalışma zamanını değiştirmiyor.
Besu, kök kaldırma değişikliğini açıkça yalnızca Docker imajlarıyla sınırlıyor; tar ve zip dağıtımını kullananların hâlâ kökleri güvenen bir JDK’sı olabilir. Teku’nun ikili dağıtımı da operatörün kurduğu Java çalışma zamanını kullanıyor. Bu kurulumlarda çalışma zamanı kontrol edilmeli ve hâlâ etkileniyorsa istemci yazılımından ayrı olarak düzeltilmelidir.
Ağ bağımlılıkları ve olası riskler
Teku’nun HTTPS bağımlılıkları uzak imzacıları, beacon düğümlerini, yürütme istemcilerini ve builder ya da relay’leri; ayrıca önerici yapılandırmasını, başlangıç verilerini ve metrik servislerini kapsayabiliyor. Bildirim, boş bir veritabanıyla başlatıldığında başlangıç durumunu HTTPS üzerinden indiren Sepolia, Hoodi ve Ephemery ağlarını da öne çıkarıyor.
Yamasız bir çalışma zamanında bağlantıyı ele geçiren bir saldırgan, uzak bir beacon düğümünü taklit edebilir. Bu, önerici ücretlerinin yönlendirilmesine ya da doğrulayıcı görevlerinin kaçırılmasına yol açabilir. Dışarıdaki bir imzacıyı taklit eden saldırgan ise doğrulayıcı çıkışları için imza elde edebilir. Bildirime göre imzacıda karşılıklı TLS istemci kimlik doğrulaması bu etkiyi hizmet reddi ile sınırlıyor.
Teku’nun libp2p ve discv5 gibi eşler arası ağ katmanı sertifika yetkililerini kullanmıyor ve bu sorunun kapsamı dışında kalıyor.
Kaynak: Teku
