Các máy khách Ethereum Teku và Besu vá lỗ hổng lộ trust store do khóa CA bị xâm phạm

Các nhóm phần mềm Ethereum đã công bố bản cập nhật cho máy khách Teku và Besu nhằm xử lý rủi ro lộ trust store liên quan đến khóa của tổ chức cấp chứng thư số (CA) từ eMudhra bị xâm phạm, theo báo cáo của NewsBTC. Thông tin công bố liên quan đến các tổ chức cấp chứng thư số mà phần mềm máy khách dựa vào khi xác thực kết nối TLS, chứ không phải các quy tắc đồng thuận của chuỗi.

Trust store là tập hợp chứng thư gốc cục bộ mà ứng dụng sử dụng để quyết định chấp nhận kết nối mã hóa nào. Nếu một tổ chức cấp chứng thư số trong kho đó bị xâm phạm, về nguyên tắc kẻ tấn công có thể có được các chứng thư mà phần mềm máy khách sẽ coi là hợp lệ.

Các bản cập nhật bao gồm những gì

• Teku và Besu, hai triển khai máy khách execution và consensus Ethereum độc lập, đều nhận được bản cập nhật
• Thay đổi nhắm vào rủi ro lộ trust store gắn với khóa CA của eMudhra
• Vấn đề nằm ở việc xác thực chứng thư, không phải ở xử lý khối hay nhiệm vụ của validator

Các nhà vận hành node chạy một trong hai máy khách thuộc phạm vi ảnh hưởng của khuyến cáo. Tài liệu nguồn không nêu rõ bản phát hành nào có bản sửa lỗi, vì vậy nhà vận hành nên xác nhận phiên bản liên quan qua ghi chú phát hành của chính dự án trước khi cập nhật.

Sự cố tổ chức cấp chứng thư số là mối quan tâm bảo trì thường xuyên đối với tính đa dạng máy khách: vì Ethereum dựa vào nhiều máy khách được phát triển độc lập, sự cố phụ thuộc ở một triển khai không tự động ảnh hưởng đến các triển khai khác, nhưng mỗi nhóm vẫn phải phát hành biện pháp khắc phục của riêng mình.