Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

以太坊客户端Teku在证书颁发机构密钥泄露后警告验证者

2026-10-29 06:18:38

Bookmark

关键事实

Ethereum（以太坊）共识客户端 Teku 的开发团队发出警告，eMudhra 八家中间证书颁发机构的密钥若遭泄露，攻击者若能拦截流量，即可在缺乏 OpenJDK 修复补丁的 Java 运行时环境中，伪装成 Teku 所连接的 HTTPS 终端。

据公告称，主网上未配置任何 HTTPS URL 的默认 Teku 节点不受影响，且目前尚未有利用该漏洞的报告。

开发团队表示，截至并包括版本 26.10.2 在内的所有 Teku Docker 镜像，均搭载了缺少上述 OpenJDK 修复补丁的 Java 运行时环境。

Ethereum（ETH）共识客户端 Teku 的开发团队警告验证者运营商，证书颁发机构密钥的泄露可能导致攻击者通过 HTTPS 冒充其节点所连接的服务。对于指向远程签名器或信标节点等 HTTPS 终端，且在未打补丁的 Java 运行时上运行 Teku 的运营商而言，这一问题尤为关键。

“主网上的默认 Teku 节点不受影响，无需采取任何行动”，团队在周三更新的安全公告中表示。公告指出，仅当 Teku 连接到 HTTPS 终端时才会受到影响。

Teku 关于 eMudhra 证书颁发机构泄露问题的安全公告摘要。来源：Teku

eMudhra 证书事件始末

根据公告，10 月 17 日，八家 eMudhra（emSign）中间证书颁发机构的私钥被证实可从其公钥证书中恢复。这些证书于 10 月 18 日被撤销，随后浏览器、操作系统以及 Go 语言均已将其屏蔽。

Java 默认不检查证书吊销状态，因此 Java 运行时需要自行修复。OpenJDK 分别于 10 月 20 日和 10 月 23 日发布了两个修复补丁。

在未应用任一修复补丁的运行环境中，能够拦截 Teku 流量的攻击者可以冒充其连接的 HTTPS 终端。“任何人都可以从公钥证书中推导出泄露的密钥，因此网络位置是唯一的真正屏障”，团队表示，“目前尚未报告任何利用案例。”

哪些 Teku 验证者面临风险

外部签名器是风险最高的终端。公告指出，冒充该签名器的攻击者可能获取自愿退出签名（此类操作不可逆转）、重定向费用的构建者注册签名，以及在签名器自身防 slashing 保护关闭情况下的可惩罚签名。

如果签名器要求 Teku 提供客户端证书，则影响范围将限制为拒绝服务（DoS）。

公告将通过网络远程信标节点进行的攻击列为中等可能性，因为使用互联网上的 validator client 连接远程信标节点是一种常见设置。被冒充的节点可能会让验证者提出支付费用给攻击者的区块。在此情况下，Teku 的防 slashing 保护机制仍可阻止产生可惩罚签名。

所有包含 -jdk25 和 -jdk26 标签的 Teku Docker 镜像（截至并包括 26.10.2 版本），均搭载了缺少任一修复补丁的 Java 运行时环境。因此，依赖任何受影响选项的 Docker 用户在获得修复后的镜像发布前，仍处于暴露状态。

团队还建议用户迁移至 -jdk25 标签，因为 Java 26 已停止维护，且不会有针对 Java 26 的修复版本发布。

此次警告正值本月其他以太坊质押新闻频发之际，包括以太坊开发者周一合并的阿姆斯特丹修复方案以解决构建者存款问题。比特币钱包 Electrum 本周也修补了被恶意服务器利用的一个漏洞。

Disclaimer:

All content published on this website, including hyperlinks, related applications, forums, blogs, and other media accounts, originates from third-party platforms and their users. CoinMarketInsight makes no representations or warranties of any kind regarding the website or its content. All blockchain-related data and materials are provided for informational and research purposes only and do not constitute financial, legal, or investment advice. Users and third parties are solely responsible for the content they publish. CoinMarketInsight shall not be liable for any losses arising from the use of this website. You should exercise caution and conduct your own independent research, review, analysis, and verification before making any decisions.

Read Full Article

0.00% 0.00%

Bullish

Bearish

Hot Coins