Ethereum-Clients Teku und Besu sperren kompromittierte Zertifikate

Die Ethereum-Clients Teku und Besu haben Updates veröffentlicht, weil eine indische Zertifizierungsstelle die Schlüssel mehrerer Zwischenzertifikate nicht geheim halten konnte. Betroffen sind nach Angaben der Teku-Entwickler nur Validatoren, die über HTTPS mit anderen Rechnern sprechen, ausgenutzt wurde die Schwachstelle bislang nicht.

“A default Teku node on mainnet is not affected and needs no action”, heißt es in der Sicherheitsmitteilung des Teku-Teams: Ein Teku-Knoten in der Standardeinstellung im Hauptnetz ist also nicht betroffen.

Der Auslöser liegt außerhalb der Kryptowelt. Am 17. Oktober zeigten Forscher, dass sich die privaten Schlüssel von acht Zwischenzertifizierungsstellen des indischen Anbieters eMudhra aus deren öffentlichen Zertifikaten zurückrechnen ließen. Wer diese Schlüssel kennt, kann Zertifikate ausstellen, die als echt gelten. Einen Tag später wurden die Zertifikate widerrufen, Browser und Betriebssysteme sperrten sie.

Java tut das nicht von sich aus, weil es Widerrufe standardmäßig nicht prüft. Teku und Besu laufen auf Java, und ihre Docker-Images brachten eine Laufzeitumgebung mit, die den betroffenen Wurzelzertifikaten weiter vertraute.

Ein Angreifer, der sich zwischen einen Validator und einen Dienst schaltet, mit dem dieser über HTTPS verbunden ist, hätte sich damit als dieser Dienst ausgeben können. Am gefährlichsten ist nach Einschätzung des Teku-Teams ein externer Signierdienst: Über ihn ließen sich etwa Builder-Registrierungen unterschieben, die Gebühren an eine fremde Adresse lenken. Bei einem entfernten Beacon Node, dem Knoten, der für den Validator die Kette verfolgt, hätte der Validator Blöcke vorschlagen können, deren Gebühren beim Angreifer landen.

Teku hat am 27. Oktober die Version 26.10.3 veröffentlicht, Besu am 26. Oktober die Version 26.10.2. In beiden Fällen vertrauen die Docker-Images vier Wurzelzertifikaten von eMudhra und Sectigo nicht mehr, die auch OpenJDK entfernt hat. Wer die Clients ohne Docker auf einer eigenen Java-Installation betreibt, muss diese selbst aktualisieren.

Für Java 26 kommt dabei keine Korrektur mehr, weil die Version ihr Lebensende erreicht hat, das Teku-Team rät zum Wechsel auf Java 25. Gemeldet hatte das Problem nach Angaben der Entwickler Consensys Diligence, der Sicherheitspartner von Teku.

Wer Ether über eine Börse oder einen Anbieter wie Lido staken lässt, muss nichts tun; welche Software die Validatoren dort nutzen, entscheidet der Anbieter. Gemeint sind Solo-Staker und Betreiber, die ihren Validator mit entfernten Diensten verbinden, und für sie bleibt nach dem Update eine Aufgabe: prüfen, ob der Client tatsächlich mit der neuen Java-Umgebung läuft. Wie Ethereum-Staking grundsätzlich funktioniert, erklärt unser Ratgeber.

eMudhra will sich nach Angaben von CoinDesk aus dem Geschäft mit Zertifikaten zurückziehen.