Ethereum’da bazı doğrulayıcı kurulumlarının blok ücretlerini saldırganlara yönlendirmesine yol açabilecek sertifika açığı için Teku ve Besu güncellemeleri yayımlandı.
CoinDesk’in haberine göre sorun, Hindistan merkezli dijital sertifika kuruluşu eMudhra kaynaklı bir güvenlik zafiyetinden doğdu. Teku’nun 26.10.3 ve Besu’nun 26.10.2 sürümlerindeki hazır Docker paketleri, bu kuruluşa bağlı sertifikalara duyulan güveni kaldırdı.
Teku ekibi, varsayılan ayarlarla çalışan ana ağ düğümlerinin etkilenmediğini ve işlem yapmalarına gerek olmadığını belirtti. Açığın kullanıldığına ilişkin bir istismar bildirimi de bulunmadığını açıkladı.
Sahte sertifika nasıl para kaybına yol açabilirdi?
Araştırmacılar 17 Ekim’de, eMudhra’nın sekiz ara sertifika otoritesine ait özel anahtarların yeterli rastgelelik kullanılmadan üretildiğini tespit etti. Bu zayıflık, gizli kalması gereken anahtarların kamuya açık sertifikalardan hesaplanabilmesine imkân veriyordu.
Böyle bir anahtarı ele geçiren saldırgan, güncellenmemiş yazılımların gerçek kabul edeceği sahte sertifikalar oluşturabilirdi. Tarayıcılar ilgili sertifikaları engelledi, eMudhra da bir gün sonra bunları iptal etti. Ancak Teku ve Besu’nun çalıştığı Java ortamı, varsayılan olarak sertifika iptalini kontrol etmediğinden bazı kurulumlar bu sertifikalara güvenmeye devam etti.
Ethereum doğrulayıcıları, ağı güvence altına almak için ETH kilitleyen ve blok önerme görevini üstlenen sistemlerdir. İnternet üzerinden başka hizmetlere bağlanan bir doğrulayıcının iletişimine araya girerek müdahale eden saldırgan, sahte sertifikayla kendisini o hizmet gibi gösterebilirdi. Teku’nun uyarısına göre kandırılan doğrulayıcı, blok ücretlerini saldırganın adresine gönderen bir blok önerebilirdi.
Ekip, doğrulayıcı anahtarlarını ayrı bir hizmette tutan harici imzalayıcının taklit edilmesini en riskli senaryo olarak değerlendirdi. İlk uyarı Teku’nun güvenlik ortağı Consensys Diligence’tan geldi.
Docker güncellemesi her kurulumu kapsamıyor
Yamalar, Teku ve Besu’nun Docker imajlarındaki sertifika güvenini düzeltiyor. Yazılımı Docker kullanmadan doğrudan makinesinde çalıştıran operatörlerin ise Java ortamını ayrıca güncellemesi gerekiyor. Yeni Docker imajı, ana bilgisayarda kurulu Java’nın güvenilir sertifika listesini değiştirmiyor.
Teku’nun açıklamasına göre Java 26 desteği sona erdiği için bu sürüme yamalı bir derleme gelmeyecek; onu kullanan operatörlerin Java 25’e geçmesi gerekiyor. Dolayısıyla uygulanacak düzeltme, doğrulayıcının nasıl kurulduğuna bağlı olarak değişiyor.
Yatırım tavsiyesi değildir.
