以太坊客户端开发者 Teku 和 Besu 已发布安全更新，以修复一个证书漏洞。该漏洞可能让攻击者冒充验证者使用的服务，并有可能将其区块奖励重定向到自己的地址。

根据随更新发布的安全公告，这一问题源于印度公司 eMudhra 运营的八个证书颁发机构所使用的加密密钥存在弱点，可能使攻击者能够创建伪造证书。

Teku 警告称，攻击者可能冒充以太坊验证者使用的外部服务，并在某些配置下操纵区块提议，或获取敏感的验证者签名。

Teku 的默认主网配置不受影响，开发者也确认尚未收到该漏洞被利用的报告。

使用独立 Teku 或 Besu 安装的运营者还必须单独更新其 Java 环境，因为最新的 Docker 镜像修复不会自动更新本地安装的 Java 证书。

据随发布附带的安全公告称，问题源于印度数字证书提供商 eMudhra 旗下证书颁发机构的私钥被攻破，这使得某些以太坊节点配置暴露于伪造的 HTTPS 连接风险之下。

Teku 于 10 月 27 日发布 26.10.3 版本，Besu 则在前一天推出 26.10.2 版本。两项更新都从其 Docker 镜像中移除了受影响的 eMudhra 证书信任，运营者可借此部署和运行以太坊节点软件。

该漏洞可能影响依赖外部服务进行签名交易、与信标节点通信或接收区块构建信息的验证者。攻击者需要拦截受影响的连接，并提供一个验证者软件会接受为合法的伪造证书。

Teku 的开发者确认，默认主网配置不受影响，并表示目前没有发现该漏洞被利用的情况。

以太坊安全漏洞追溯至被攻破的 eMudhra 证书

这一安全问题始于 eMudhra 运营的八个中间证书颁发机构所涉及的加密错误，其私钥被发现是用不足的随机性生成的。

研究人员在 10 月 17 日发现了这一问题，并确认可从公开证书中的信息数学上恢复这些私钥。

根据微软 10 月 26 日发布的安全公告，受影响的证书中有六个用于保护互联网连接，其余两个与代码签名有关。

这些被攻破的密钥可能让攻击者创建出对仍信任这些证书颁发机构的应用程序看起来真实有效的证书。

eMudhra 已于 10 月 18 日吊销受影响的中间证书，而科技公司也开始从其软件中移除对这些受损证书链的信任。

微软随后在 10 月 20 日通过 Windows 安全更新阻止了受影响的证书颁发机构，并在 10 月 26 日发布另一项更新，从其受信任列表中移除了七个相关证书。

不过，这一问题对以太坊仍然相关，因为 Teku 和 Besu 使用 Java，而 Java 的证书验证默认不会检查吊销状态。

因此，受影响的 Java 安装在证书已被吊销后，仍可能继续接受与这些受损机构相关的证书。

攻击者如何重定向以太坊验证者奖励

Teku 的安全公告列出了几种可能的攻击场景，涉及通过 HTTPS 连接与外部服务通信的验证者。

其中一种场景是，攻击者冒充验证者用于协调职责的远程信标节点。

如果攻击者成功拦截连接并出示伪造证书，验证者可能会收到关于其准备提议区块的被篡改信息。

Teku 表示，这类攻击可能导致验证者提议一个将交易费用发送到攻击者控制地址的区块。

公告还将外部签名服务列为另一个可能受影响的组件。这类服务会将验证者签名密钥与主节点软件分开保存，并在收到请求时提供签名。

如果攻击者冒充外部签名器，可能会获取与验证者退出相关的签名，具体取决于配置和可用防护措施。

Teku 将这一场景归类为尤其严重，不过使用双向 TLS 身份验证的配置可能会将后果限制为拒绝服务。

其他可能受影响的连接还包括执行客户端、区块构建者、转发器，以及用于获取验证者配置信息的服务。

该漏洞并不影响以太坊底层点对点网络协议，因为这些协议并不依赖受影响的证书颁发机构。

Teku 和 Besu 发布修复补丁

在漏洞披露后，Teku 发布了 26.10.3 版本，从其 Docker 镜像中移除了四个证书根，包括 emSign ECC Root CA G3、emSign Root CA G1、emSign Root CA G2 和 AAA Certificate Services。

Besu 在 26.10.2 版本中加入了相同的证书移除措施，以降低使用其更新版 Docker 镜像的运营者面临的风险。

不过，这些发布不会自动更新由节点运营者单独维护的 Java 安装。

通过独立二进制发行版运行 Teku 或 Besu 的用户必须检查其已安装的 Java 运行时，并在必要时更新其受信任证书。

Teku 警告称，仍在使用 Java 26 的运营者需要迁移到 Java 25，因为前者已到生命周期终点，无法获得所需的修补版本。

该公告还指出，某些测试网配置也可能受到影响，包括那些通过 HTTPS 下载初始区块链状态的设置。

这些安全更新发布之际，以太坊验证者基础设施近期还面临其他担忧。就在本月早些时候，crypto.news 报道称，MetaMask 已开始退出受另一项基础设施安全事件影响的验证者，该事件于 9 月 30 日披露。

更近期，以太坊开发者修正了即将到来的 Glamsterdam 升级中的一个验证者存款漏洞，研究人员发现一种情形下，builder 账户可能收到原本应发给验证者的 ETH。

Glamsterdam 升级还因开发者推迟其 Hoodi 测试网激活而出现延迟，原因是需要调查与 EIP-8037 相关的智能合约兼容性问题。

10 月 26 日的延期取消了原定的 Amsterdam 执行层变更和 Gloas 共识层变更的激活安排，同时也取消了将 Hoodi 的 gas 上限提高到 2 亿的提议。以太坊开发者尚未公布新的激活日期。