イーサリアム検証者の報酬奪取の恐れある脆弱性判明、テクーとベスが緊急更新

イーサリアム（ETH）検証者のブロック報酬が攻撃者に奪われる恐れのあるセキュリティー上の脆弱性が見つかり、主要クライアントの開発チームが更新版を配布した。

コインデスクが10月29日に報じたところによると、イーサリアムクライアントのテクー（Teku）とベス（Besu）は、インドのデジタル認証機関イームドラ（eMudhra）の証明書に絡む脆弱性に対応するため、それぞれバージョン26.10.3と26.10.2を公開した。今回の更新では、Dockerイメージからイームドラ関連証明書への信頼を削除した。

問題が表面化したのは10月17日。イームドラの中間認証局8カ所で使われていた秘密鍵が、十分な乱数性を欠いたまま生成されていたことが確認された。この秘密鍵は公開済みの証明書だけでも推定できる可能性があり、攻撃者が正規の証明書を装った偽の証明書を発行しかねなかった。その後、主要なウェブブラウザーは関連証明書を遮断し、イームドラも当該証明書を失効させた。

この脆弱性は、イーサリアム検証者の報酬奪取につながる可能性がある。攻撃者が検証者と外部サービスの間の通信を傍受し、正規のサービスを装えば、ブロック生成手数料の支払先を攻撃者のアドレスに誘導できるためだ。とりわけ、検証者の秘密鍵を別途管理する外部署名サービスが偽装された場合、報酬受取先アドレスを変更する署名が悪用されるリスクがある。

テクーとベスが採用するプログラミング言語のJavaにも問題があった。Javaは初期設定で証明書の失効有無を確認しない。このため、ウェブブラウザー側で関連証明書が遮断された後も、一部のテクーのDocker環境では当該証明書を引き続き信頼する状態が生じた。

もっとも、現時点で実際の攻撃や資金奪取の事例は報告されていない。テクー開発チームはセキュリティー勧告で「イーサリアムのメインネットで初期設定のまま稼働するテクーノードは影響を受けず、追加対応も不要だ」と説明した。

開発チームは、Dockerを使わずにテクーやベスを直接実行している運用者に対し、Java環境を別途更新するよう促した。あわせて、サポートが終了したJava 26にはセキュリティーパッチが提供されないため、Java 25へ移行する必要があるとした。