Consensys попередила вузли Besu про ключі eMudhra

Consensys попередила операторів вузлів Ethereum, що деякі конфігурації її клієнта виконання Besu та віддаленого підписувача Web3Signer досі можна обдурити сертифікатами, створеними зі скомпрометованими ключами eMudhra, пише The Defiant. Стандартні інсталяції не зачеплені, кажуть команди, але окремі налаштування треба змінити вже зараз.

Це продовження історії про компрометацію сертифікатів eMudhra: вісім проміжних ключів індійського центру сертифікації виявилися вкрай слабкими.

Чому слабке місце — Java

• Besu і Web3Signer написані на Java, а їхні Docker-образи містять середовище Eclipse Temurin.
• Java має власний список довірених кореневих сертифікатів і за замовчуванням не перевіряє, чи сертифікат відкликано. Браузери заблокували погані проміжні сертифікати eMudhra за кілька днів, а Java без жовтневих виправлень OpenJDK (CVE-2026-91403 і CVE-2026-114820) досі може їх прийняти — так підсумовує попередження трекер інцидентів pwn.watch.

Які конфігурації під загрозою

• Високий ризик: вузли Besu, запущені з --rpc-http-tls-ca-clients-enabled, що пускає до JSON-RPC API будь-якого клієнта із сертифікатом, підписаним CA. Зловмисник може випустити такий сертифікат, нічого не перехоплюючи.
• Ризик перехоплення: функції, що завантажують дані через https:// або wss:// — імпорт історії ERA1, HTTPS-бутноди, ethstats, OpenTelemetry і Pyroscope, а також віддалені сховища ключів у Web3Signer, — може підробити той, хто контролює мережевий шлях.
• Доступ до Web3Signer: операторам, які пускають клієнтів через --tls-allow-ca-clients або --tls-allow-any-client, радять перейти на явний список --tls-known-clients-file. Віддалений підписувач зберігає ключі валідаторів, тож важливо, хто може до нього звертатися.

Що робити операторам

1. Оновити Java (або образ клієнта) до збірки з виправленнями щодо eMudhra.
2. Якщо поки не можна — прибрати корені eMudhra зі сховища cacerts або ввімкнути перевірку відкликання, як описано в рекомендаціях Oracle.
3. Замінити довіру до CA на файл відомих клієнтів і не відкривати порти RPC та підписувача в інтернет.

Домашнім стейкерам зі стандартними налаштуваннями панікувати не варто: це звичайне обслуговування, про яке йдеться в нашому гайді про стейкінг криптовалют. Сама eMudhra вибачилася, пояснивши слабкі ключі помилкою скрипта, і пообіцяла незалежну перевірку та публічний звіт про причини.