Java, le langage de programmation utilisé par Teku et Besu, ne vérifie pas si un certificat a été révoqué par défaut. Ainsi, les images Docker de Teku ont continué à faire confiance aux mauvais certificats même après que les navigateurs les ont supprimés.
Comment les validateurs pourraient perdre de l’argent
Un attaquant assis entre un validateur et un service auquel il se connecte pourrait se faire passer pour ce service. Dans son avis de sécurité, Teku a déclaré qu’un validateur trompé de cette façon pourrait proposer un bloc qui paierait ses frais à l’adresse de l’attaquant.
Un faux signataire externe, le service distinct qui détient les clés d’un validateur, pourrait remettre les signatures utilisées pour changer la destination des récompenses, ce que Teku a classé comme la configuration la plus risquée.
« Un nœud Teku par défaut sur le réseau principal n’est pas affecté et ne nécessite aucune action », a écrit l’équipe, ajoutant qu' »aucune exploitation n’a été signalée ». Consensys Diligence, le partenaire de sécurité de Teku, a initialement signalé le problème.
Les opérateurs qui exécutent Teku ou Besu directement sur leurs machines, sans Docker, doivent mettre à jour Java eux-mêmes, car la mise à jour du logiciel Ethereum ne touche pas à la liste des certificats de confiance de Java. Les nouvelles images Docker ne corrigent pas non plus Java installé sur l’hôte.
Cependant, quiconque utilise encore Java 26 a une solution plus difficile. Teku a déclaré que cette version était en fin de vie et ne recevrait pas de version corrigée, ces opérateurs doivent donc passer à Java 25.
