イーサリアム検証者の報酬奪取の恐れある脆弱性、テク・ベスが緊急更新

イーサリアム（ETH）検証者のブロック報酬が攻撃者に奪取される恐れのあるセキュリティー上の脆弱性が見つかり、主要クライアントの開発チームがセキュリティーアップデートを配布した。

コインデスクが10月29日に報じたところによると、イーサリアムクライアントのテク（Teku）とベス（Besu）は、インドのデジタル認証機関イーマドラ（eMudhra）の証明書に関連する脆弱性に対応するため、それぞれバージョン26.10.3と26.10.2を公開した。今回の更新の柱は、Dockerイメージからイーマドラ関連証明書への信頼を削除する点にある。

問題が明らかになったのは10月17日だ。イーマドラの中間認証局8カ所で使われる秘密鍵が、十分な乱数性を欠いた状態で生成されていたことが確認された。こうした秘密鍵は公開済みの証明書だけでも推定できるため、攻撃者が正規の証明書を装った偽の証明書を発行する可能性があった。その後、主要ウェブブラウザーは関連証明書を遮断し、イーマドラも当該証明書を失効させた。

この脆弱性は、イーサリアム検証者の報酬奪取につながる可能性がある。攻撃者が検証者と外部サービスの間の通信を傍受し、正規サービスを装えば、ブロック生成手数料の支払先を攻撃者のアドレスに誘導できるためだ。特に、検証者の秘密鍵を別途管理する外部署名サービスが偽装された場合、報酬受取アドレスを変更する署名が悪用される危険があるとみられる。

問題点として、テクとベスが採用するプログラミング言語のJavaが、初期設定では証明書の失効有無を確認しないことも挙がった。このため、ウェブブラウザーで関連証明書が遮断された後も、一部のテクのDocker環境では当該証明書を引き続き信頼する事態が生じた。

もっとも、現時点で実際の攻撃や資金奪取の事例は報告されていない。テクの開発チームはセキュリティー勧告で「イーサリアムのメインネットで初期設定のまま稼働するテクノードは影響を受けず、追加対応も必要ない」と説明した。

開発チームは、Dockerを使わずにテクやベスを直接動かす運用者に対し、Java環境を別途更新するよう促した。あわせて、サポートが終了したJava 26ではセキュリティーパッチが提供されないため、Java 25へ移行する必要があると付け加えた。