以太坊客户端发布安全更新，修复eMudhra证书漏洞，默认主网节点不受影响
相关推荐
以太坊客户端 Teku 与 Besu 发布安全更新，二进制用户需单独检查 Java 运行环境
Foresight News 消息，据 CryptoSlate 报道，以太坊客户端 Teku 与 Besu 已发布 Docker 安全修复版本，以应对 eMudhra 证书颁发机构事件。Teku 26.10.3 版本与 Besu 26.10.2 版本的 Docker 镜像已移除对 emSign ECC Root CA – G3、emSign Root CA – G1、emSign Root CA – G2 及 AAA Certificate Services 四个根证书的信任。采用二进制安装的用户需单独检查其主机 Java 运行环境，因客户端依赖系统已安装的 JDK，若该环境仍信任相关根证书则需另行修复。Teku 团队表示目前未发现被利用情况，默认主网节点（未使用 HTTPS URL）不受影响。
以太坊客户端Teku和Besu修复证书漏洞，防止攻击者窃取ETH奖励
PANews 10月29日消息，据CoinDesk报道，以太坊客户端Teku发布26.10.3版本、Besu发布26.10.2版本，均在Docker镜像中停止信任与印度证书机构eMudhra相关的证书。此前研究人员发现，由于密码学缺陷，eMudhra八个中间证书机构的私钥可被推算。Teku表示，攻击者若位于验证者与其连接服务之间，可冒充该服务，被欺骗的验证者可能提出将费用支付给攻击者地址的区块，而伪造外部签名者风险最高。Teku称主网默认节点不受影响，未报告漏洞利用。直接运行而未使用Docker的运营商需自行更新Java，仍使用Java 26的用户需迁移至Java 25，该版本已停止维护。
Consensys 警告以太坊运营者注意 eMudhra 签名风险
火星财经消息，Consensys 与数字签名解决方案提供商 eMudhra 团队联合发布安全警告，指出以太坊运营者在使用 eMudhra 签名方案时存在风险。团队发现部分 Java 信任存储存在漏洞，且部分配置会导致暴露风险。根据披露，默认设置不受影响，但部分 Web3Signer 部署需要立即更改访问控制。Web3Signer 是 Consensys 开发的开源远程签名工具，常用于以太坊等网络的密钥管理。
Zcash Labs推出JavaScript开发工具包Zcash JS
PANews 10月26日消息，Zcash Labs宣布推出JavaScript开发工具包Zcash JS，开发者可用它构建基于Zcash的网页端、服务器端和移动端应用。官方称可开发的应用包括钱包、轻客户端和数据看板等。Zcash Labs表示将持续维护Zcash JS，并围绕它建设配套工具和代码库生态。项目文档和GitHub代码库已同步公开。
CertiK警告加密应用仍面临eMudhra证书漏洞风险
Odaily星球日报讯 区块链安全公司 CertiK 表示，尽管 Google、苹果和 Microsoft 已封锁印度数字证书机构 eMudhra 签发的 8 张受影响证书，加密交易机器人和交易所应用仍可能暴露于相关漏洞风险，浏览器修复措施未必覆盖采用独立安全系统的软件。 CertiK 数字资产安全高级总监 Peiyu Wang 指出，攻击者可利用被攻破的证书冒充交易所、钱包界面和 API，替换充值地址或诱导用户批准恶意交易，但相关攻击还需拦截或重定向网络流量，仅凭受影响的证书机构密钥无法暴露钱包私钥。加密服务运营方应更新软件和证书信任库，并确认应用拒绝受影响证书。（Cointelegraph）
印度CA机构eMudhra曝私钥生成漏洞，全球浏览器紧急拉黑防范中间人攻击
火星财经消息，10 月 21 日，一起引发全球网络安全界高度关注的证书颁发机构（CA）安全事件被曝光。印度 CA 机构 eMudhra 被安全研究人员发现，其签发的 8 个中间证书私钥存在极其严重的生成缺陷。这些本应具有极高安全强度的私钥，由于实现错误，其实际有效信息仅相当于极小的整数（如 4、56、66 等），导致安全人员能在不到一秒的时间内将其完全破解。这一漏洞使得原本用于保障网络通信安全的信任基石形同虚设。 中间证书是 HTTPS 加密信任链中的关键环节，其私钥一旦被轻易获取，攻击者便可利用其伪造受信任的 HTTPS 证书，进而针对银行、邮箱或任何受信任的网站发起中间人攻击，拦截、篡改或窃取用户的通信数据。事件的根源并非外部黑客的恶意入侵，而是 eMudhra 在证书生成环节出现了灾难性的实现错误，生产出了安全性近乎于零的私钥。 事件曝光后，全球主要浏览器与软件厂商迅速采取了紧急防御措施。Chrome、Firefox、Apple 以及 Microsoft 均已发布安全更新，将这 8 个存在风险的中间证书列入黑名单，阻止用户访问由它们签发的虚假证书。与此同时，eMudhra 公司自身也已正式吊销了这些存在缺陷的证书。此外，由于大量软件依赖自带的证书信任库，Go、Python、Rust 以及 Electron 等主流开发语言和框架也已紧急推送更新，在各自的生态内封禁了这些受影响的证书。 截至目前，全球安全机构尚未发现这些脆弱的私钥被恶意利用以签发伪造证书的证据。然而，考虑到庞大的物联网设备以及未及时更新的旧版系统，全面清理这一安全隐患仍需时间。安全专家提醒用户称，当前最直接有效的防护措施是确保浏览器和操作系统处于最新版本，以便及时获取最新的证书黑名单，保障自身的网络访问安全。