تیم‌های توسعه دو کلاینت اتریوم، Teku و Besu، این هفته نسخه اصلاحی منتشر کردند تا نقصی را که از یک شرکت صدور گواهی دیجیتال در هند آمده بود ببندند. این نقص به مهاجم اجازه می‌داد در شرایط خاص خود را جای سرویسی جا بزند که اعتبارسنج به آن وصل می‌شود و پاداش بلاک را به آدرس خودش بفرستد. تا ۲۹ اکتبر ۲۰۲۶ هیچ سوءاستفاده‌ای از این نقص گزارش نشده است.
نقص از کجا شروع شد
پژوهشگران در ۱۷ اکتبر دیدند کلید خصوصی هشت مرجع میانی صدور گواهی شرکت هندی eMudhra با تصادفی بودن ناکافی ساخته شده است. چنین کلیدی را می‌توان از روی گواهی عمومی بازسازی کرد و هر کسی که آن را داشته باشد می‌تواند گواهی‌ای بسازد که نرم‌افزار وصله‌نشده آن را معتبر بداند. مرورگرها این گواهی‌ها را مسدود کردند و eMudhra یک روز بعد آن‌ها را باطل کرد. این شرکت اعلام کرده از کسب‌وکار صدور گواهی خارج می‌شود.
مشکل اتریوم از اینجا بود که جاوا به‌طور پیش‌فرض باطل شدن گواهی را بررسی نمی‌کند. Teku و Besu هر دو با جاوا نوشته شده‌اند و ایمیج‌های داکر Teku همچنان به گواهی‌های باطل‌شده اعتماد می‌کردند. شرکت Consensys Diligence، شریک امنیتی Teku، نخستین بار این مشکل را گزارش داد.
کدام اعتبارسنج‌ها در خطر بودند
مهاجم برای سوءاستفاده باید میان اعتبارسنج و سرویسی که به آن وصل می‌شود قرار می‌گرفت. در این حالت اعتبارسنج فریب‌خورده ممکن بود بلاکی پیشنهاد دهد که کارمزدهایش به آدرس مهاجم برود. خطرناک‌ترین حالت، به گفته تیم Teku، استفاده از امضاکننده بیرونی بود؛ یعنی سرویسی که کلیدهای اعتبارسنج را نگه می‌دارد. امضاکننده جعلی می‌توانست امضاهایی بدهد که مقصد پاداش را عوض کند.
تیم Teku می‌گوید نود پیش‌فرض Teku روی شبکه اصلی آسیبی نمی‌بیند و نیازی به اقدام ندارد. سازوکار اعتبارسنجی و پاداش آن در درس اثبات سهام چیست و ساختار کلی شبکه در درس اتریوم چیست توضیح داده شده است.
کدام نسخه را باید نصب کرد
- Besu نسخه 26.10.2 که روز دوشنبه ۲۶ اکتبر منتشر شد.
- Teku نسخه 26.10.3 که روز سه‌شنبه ۲۷ اکتبر منتشر شد.
- اپراتورهایی که این دو کلاینت را بدون داکر اجرا می‌کنند باید جاوای سیستم را خودشان به‌روز کنند. جاوا ۲۶ به پایان پشتیبانی رسیده و نسخه اصلاحی نمی‌گیرد، پس باید به جاوا ۲۵ برگشت.
این دومین هشدار امنیتی زیرساختی در یک ماه اخیر است؛ پیش‌تر خبر باگ کیف پول الکتروم و خبر تغییر قاعده افشای باگ در Bitcoin Core را پوشش دادیم. قیمت لحظه‌ای در صفحه قیمت اتریوم به‌روز می‌شود.
این مطلب گزارشی خبری است و توصیه سرمایه‌گذاری محسوب نمی‌شود. منبع: CoinDesk؛ یادداشت انتشار نسخه‌ها در مخزن رسمی Teku در گیت‌هاب منتشر شده است.
