Ethereum : Teku et Besu corrigent une faille de récompenses

Teku et Besu ont publié des mises à jour après la découverte par des chercheurs d’une faiblesse cryptographique ayant exposé les clés privées de huit autorités de certification intermédiaires exploitées par eMudhra, un émetteur indien. La faille aurait pu permettre à des attaquants d’usurper l’identité de services utilisés par certains validateurs Ethereum et de détourner les récompenses de blocs. Aucune exploitation n’a été signalée, et les nœuds Teku mainnet configurés par défaut n’étaient pas concernés.

Pourquoi c’est important

Les validateurs s’appuient sur des certificats numériques pour vérifier qu’ils se connectent aux bons services. Avec les clés exposées, un attaquant placé entre un validateur et un service aurait pu présenter un faux certificat, accepté comme authentique par les logiciels non mis à jour. Teku a averti qu’une connexion compromise pouvait amener un validateur à proposer un bloc qui attribue les frais à un attaquant. Un faux signataire externe pourrait aussi fournir des signatures permettant de modifier la destination des récompenses. Teku a classé cette configuration comme la plus risquée.

Teku 26.10.3 et Besu 26.10.2 retirent de leurs images Docker la confiance accordée aux certificats liés à eMudhra. Les navigateurs avaient bloqué ces certificats, et eMudhra les a révoqués le lendemain de la découverte du problème par les chercheurs, le 17 octobre. L’entreprise a déclaré qu’elle allait quitter le secteur des certificats.

Impact sur le marché

La préoccupation immédiate porte sur la sécurité des opérateurs, et non sur une compromission signalée de l’ensemble du réseau Ethereum. Teku a indiqué que les nœuds mainnet configurés par défaut n’étaient pas concernés et ne nécessitaient aucune action, mais que d’autres configurations pouvaient exiger une mise à jour. Les utilisateurs de Docker doivent installer les dernières images Teku ou Besu. Les opérateurs qui exécutent directement les logiciels doivent mettre Java à jour séparément, car la mise à jour du client Ethereum ne modifie pas les certificats de confiance de Java. Les mises à jour Docker ne corrigent pas non plus Java installé sur l’hôte.

Les opérateurs qui utilisent encore Java 26 doivent effectuer une étape supplémentaire : selon Teku, cette version est en fin de vie et ne recevra pas de version corrigée. Ils doivent donc passer à Java 25. Cet incident montre que la confiance accordée aux certificats et les logiciels installés sur l’hôte peuvent faire partie de la sécurité des validateurs, au même titre que les mises à jour des clients Ethereum.