Die Entwickler der Ethereum-Clients haben dringende Sicherheitsupdates für Teku und Besu veröffentlicht, nachdem ein kryptografischer Fehler bei der indischen Zertifizierungsstelle eMudhra bestimmte Node-Konfigurationen potenziellen Angriffen ausgesetzt hatte. Durch den Fehler hätten Angreifer vertrauenswürdige Zertifikate fälschen und die Kommunikation zwischen Komponenten der Ethereum-Infrastruktur abfangen können, wobei die Entwickler bestätigten, dass standardmäßige Ethereum-Mainnet-Konfigurationen nicht betroffen waren.

Beide Clients, die Blockchain-Betrieb und Validator-Infrastruktur unterstützen, erhielten dringende Patches. Teku dient als Consensus-Layer-Client und Besu als Execution-Layer-Client, und beide sind in Java geschrieben – ein Detail, das bestimmt, wie der Fix verschiedene Betreiber-Setups erreicht. Forscher identifizierten potenziell ernste Angriffsszenarien, doch die Entwickler meldeten keine bestätigte Ausnutzung bei betroffenen Teku-Installationen.

Wie der eMudhra-Zertifikatsfehler Sicherheitsrisiken schuf

Der Vorfall geht auf einen kryptografischen Fehler im Zertifikatsgenerierungsprozess von eMudhra im April 2025 zurück. Das Unternehmen generierte acht Intermediate-Zertifikatsstellen-Schlüssel mit unzureichender kryptografischer Stärke, wodurch ihre privaten Schlüssel rekonstruierbar waren.

Zertifizierungsstellen sind das Fundament des HTTPS-Vertrauensmodells: Anwendungen verlassen sich auf deren Signaturen, um zu bestätigen, dass die Server, zu denen sie eine Verbindung herstellen, authentisch sind. Ein unabhängiger Forscher deckte die Schwachstelle am 17. Oktober 2026 auf. Sie ermöglichte Angreifern, gefälschte Zertifikate zu erstellen, die verwundbare Anwendungen für legitim halten könnten. Das Problem blieb trotz unabhängiger Sicherheitsaudits rund 18 Monate unentdeckt.

eMudhra widerruf anschließend die betroffenen Zertifikate und räumte ein, dass ein Skriptfehler die schwachen kryptografischen Schlüssel erzeugt hatte. Wie Reuters berichtete, veranlasste der Vorfall das Unternehmen zudem, sich aus seinem weltweiten Geschäft mit Website-Sicherheitszertifikaten zurückzuziehen, wobei eMudhra betonte, dass seine Infrastruktur und Kundendaten nicht kompromittiert worden seien.

Teku und Besu veröffentlichen dringende Sicherheitsupdates

Als Reaktion entfernten die Ethereum-Client-Entwickler das Vertrauen in die betroffenen Zertifizierungsstellen aus ihren Docker-Distributionen. Teku veröffentlichte Version 26.10.3 am 27. Oktober, während Besu Version 26.10.2 am 26. Oktober ausgab.

Die Patches richten sich an Risiken im Zusammenhang mit HTTPS-Verbindungen, die auf kompromittierten Zertifikatsketten basieren. Unter bestimmten Konfigurationen könnten Angreifer, die Man-in-the-Middle-Angriffe durchführen – bei denen sie den Datenverkehr zwischen zwei Parteien unbemerkt weiterleiten und verändern – die Kommunikation zwischen Validatoren und externen Signaturdiensten potenziell manipulieren. Solche Angriffe könnten theoretisch Blockgebühren-Belohnungen auf Adressen umleiten, die unter der Kontrolle von Angreifern stehen.

Die Ausnutzung dieses Szenarios würde jedoch bestimmte Voraussetzungen erfordern, darunter verwundbare Konfigurationen und die Fähigkeit, den relevanten Netzwerkverkehr abzufangen. Standardmäßige Ethereum-Mainnet-Nodes ohne betroffene HTTPS-Verbindungen waren von der identifizierten Exposition nicht betroffen.

Zusätzliche Java-Prüfungen für Ethereum-Betreiber

Betreiber, die aktualisierte Docker-Images ausführen, erhalten die relevanten Zertifikatsvertrauensänderungen über ihre Container, da die Images ihre eigene gebündelte Laufzeitumgebung mitbringen. Administratoren, die Teku oder Besu jedoch direkt auf Servern ausführen, müssen ihre Java-Installationen und Zertifikatstruststores gesondert überprüfen. Allein die Aktualisierung des Ethereum-Clients kann die Schwachstelle möglicherweise nicht beseitigen, wenn die zugrunde liegende Java-Umgebung den betroffenen Zertifikaten weiterhin vertraut.

Der Vorfall zeigt, wie Schwächen in externer Sicherheitsinfrastruktur Risiken für Blockchain-Anwendungen schaffen können, ohne die Blockchain-Protokolle selbst zu kompromittieren. Für Ethereum-Validatoren bleibt die Wartung sicherer Client-Software und Zertifikatskonfigurationen essenziell, um die operative Infrastruktur und potenzielle Belohnungen zu schützen.