Teku 26.10.3, publiée le 27 octobre, et Besu 26.10.2, publiée le 26 octobre, retirent de leurs images Docker quatre racines de certification compromises : emSign ECC Root CA – G3, emSign Root CA – G1, emSign Root CA – G2 et AAA Certificate Services. Les installations binaires ne sont pas corrigées par ces mises à jour, car elles utilisent une version de Java gérée séparément qui doit être vérifiée et, si nécessaire, remise à niveau. L’incident sous-jacent concernait huit autorités de certification intermédiaires emSign G3, dont les clés privées récupérables ont été produites à la suite d’une erreur de script ; ces intermédiaires ont été révoqués après la signalation du 17 octobre. Teku n’a signalé aucune exploitation et précise que les nœuds du réseau principal utilisant la configuration par défaut sans URL HTTPS ne sont pas concernés. Sur un environnement non corrigé, l’interception d’une connexion HTTPS pourrait permettre de rediriger les frais de proposition, de manquer des obligations de validateur ou d’obtenir des signatures de sortie ; le réseau pair à pair de Teku, notamment libp2p et discv5, n’est pas touché.
Source: Lire l’article original
