続きを読む: ウェブサイトを保証する企業の秘密鍵は非常に脆弱で、そのうち8個が解読された

TekuとBesuが動作するプログラミング言語のJavaは、デフォルトでは証明書が失効しているかどうかを確認しない。そのため、ブラウザーが不正な証明書を信頼しなくなった後も、TekuのDockerイメージはそれらを信頼し続けていた。

バリデーターが資金を失う可能性

バリデーターと接続先のサービスの間に割り込んだ攻撃者は、そのサービスになりすますことができる。この方法でだまされたバリデーターは、手数料の支払い先を攻撃者のアドレスとするブロックを提案する可能性があると、Tekuはセキュリティ勧告で述べた。

バリデーターの鍵を保管する別個のサービスである偽の外部署名者は、報酬の送付先を変更するために使われる署名を渡す可能性があり、Tekuはこれを最もリスクの高い構成と評価した。

「メインネット上でデフォルト設定のTekuノードを使用していても影響はなく、対応は不要だ」とチームは記し、「悪用の報告はない」と付け加えた。TekuのセキュリティパートナーであるConsensys Diligenceが、当初この問題を指摘した。

Dockerを使わず、TekuまたはBesuをマシンに直接インストールして運用している人は、Javaの信頼済み証明書リストはイーサリアムソフトウェアを更新しても変更されないため、Javaを自分で更新する必要がある。新しいDockerイメージも、ホストにインストールされたJavaは修正しない。

ただし、まだJava 26を使っている人は、修正がより難しい。Tekuによると、このバージョンはサポート終了となっており、修正済みビルドは提供されないため、該当する運用者はJava 25に移行する必要がある。