En savoir plus : une entreprise qui certifie la fiabilité des sites web avait des clés secrètes si faibles que 8 d’entre elles ont été déchiffrées
Java, le langage de programmation utilisé par Teku et Besu, ne vérifie pas par défaut si un certificat a été révoqué. Les images Docker de Teku ont donc continué à faire confiance aux certificats compromis, même après que les navigateurs les ont rejetés.
Comment les validateurs pourraient perdre de l’argent
Un attaquant qui s’interpose entre un validateur et un service auquel il se connecte pourrait se faire passer pour ce service. Dans son avis de sécurité, Teku a indiqué qu’un validateur trompé de cette manière pourrait proposer un bloc qui verse ses frais à l’adresse de l’attaquant.
Un faux signataire externe, le service distinct qui détient les clés d’un validateur, pourrait fournir des signatures permettant de modifier la destination des récompenses. Teku a classé cette configuration comme la plus risquée.
« Un nœud Teku configuré par défaut sur le réseau principal n’est pas concerné et ne nécessite aucune action », a écrit l’équipe, ajoutant que « aucune exploitation de la faille n’a été signalée ». Consensys Diligence, le partenaire de sécurité de Teku, a initialement signalé le problème.
Les opérateurs qui exécutent Teku ou Besu directement sur leurs machines, sans Docker, doivent mettre Java à jour eux-mêmes, car la mise à jour du logiciel Ethereum ne modifie pas la liste des certificats de confiance de Java. Les nouvelles images Docker ne corrigent pas non plus Java installé sur la machine hôte.
La correction est toutefois plus difficile pour ceux qui utilisent encore Java 26. Teku a indiqué que cette version est en fin de vie et ne recevra pas de version corrigée. Ces opérateurs doivent donc passer à Java 25.