De ontwikkelaars van Ethereum-clients hebben spoedbeveiligingsupdates uitgerold voor Teku en Besu nadat een cryptografische fout bij het Indiase certificaatautoriteit eMudhra bepaalde nodeconfiguraties blootstelde aan mogelijke aanvallen. Door het lek hadden aanvallers vertrouwde certificaten kunnen vervalsen en communicatie tussen onderdelen van Ethereum-infrastructuur kunnen onderscheppen, al bevestigden ontwikkelaars dat standaardconfiguraties van Ethereum mainnet niet waren aangetast.

Beide clients, die ten grondslag liggen aan blockchainbewerkingen en validatorinfrastructuur, kregen dringende patches. Teku dient als consensuslaag-client en Besu als executielaag-client, en beide zijn geschreven in Java — een detail dat bepaalt hoe de fix verschillende operatorsystemen bereikt. Onderzoekers identificeerden potentieel ernstige aanvalsscenario's, maar ontwikkelaars meldden geen bevestigd misbruik van aangetaste Teku-installaties.

Hoe de certificaatfout bij eMudhra beveiligingsrisico's veroorzaakte

Het incident gaat terug op een cryptografische fout in het certificaatgeneratieproces van eMudhra in april 2025. Het bedrijf genereerde acht tussenliggende certificaatautoriteitssleutels met onvoldoende cryptografische sterkte, waardoor de privésleutels reproduceerbaar waren.

Certificaatautoriteiten vormen het fundament van het HTTPS-vertrouwensmodel: applicaties vertrouwen op hun handtekeningen om te bevestigen dat de servers waarmee ze verbinden authentiek zijn. Een onafhankelijke onderzoeker ontdekte de zwakte op 17 oktober 2026. Hierdoor konden aanvallers frauduleuze certificaten vervaardigen die kwetsbare applicaties voor echt kunnen aanzien. Het probleem bleef ondanks onafhankelijke beveiligingsaudits ongeveer 18 maanden onopgemerkt.

eMudhra trof vervolgens de betrokken certificaten in en gaf toe dat een scriptfout de zwakke cryptografische sleutels had opgeleverd. Reuters meldde dat het bedrijf hierdoor ook zijn wereldwijde websitebeveiligingscertificaatbedrijf heeft verlaten, al hield eMudhra vol dat zijn infrastructuur en klantgegevens niet waren gecompromitteerd.

Teku en Besu brengen spoedbeveiligingsupdates uit

Als reactie daarop verwijderden de ontwikkelaars van Ethereum-clients het vertrouwen in de betrokken certificaatautoriteiten uit hun Docker-distributies. Teku bracht versie 26.10.3 uit op 27 oktober, terwijl Besu versie 26.10.2 uitbracht op 26 oktober.

De patches richten zich op risico's rond HTTPS-verbindingen die afhankelijk zijn van gecompromitteerde certificaatketens. Onder bepaalde configuraties konden aanvallers die man-in-the-middle-aanvallen uitvoeren — stilletjes verkeer tussen twee partijen doorgeven en aanpassen — mogelijk de communicatie tussen validators en externe ondertekendiensten manipuleren. Zulke aanvallen zouden blokbeloningsvergoedingen theoretisch kunnen omleiden naar door aanvallers gecontroleerde adressen.

Het misbruiken van dit scenario vereiste echter specifieke omstandigheden, waaronder kwetsbare configuraties en de mogelijkheid om relevant netwerkverkeer te onderscheppen. Standaard Ethereum mainnet-nodes zonder aangetaste HTTPS-verbindingen vielen buiten de geïdentificeerde blootstelling.

Aanvullende Java-controles voor Ethereum-operators

Operators die bijgewerkte Docker-images draaien, ontvangen de relevante certificaatvertrouwenswijzigingen via hun containers, aangezien de images hun eigen gebundelde runtimeomgeving bevatten. Beheerders die Teku of Besu direct op servers draaien, moeten echter afzonderlijk hun Java-installaties en certificaatvertrouwensopslag inspecteren. Alleen het bijwerken van de Ethereum-client kan het lek mogelijk niet wegnemen als de onderliggende Java-omgeving de betrokken certificaten blijft vertrouwen.

Het incident onderstreept hoe zwaktes in externe beveiligingsinfrastructuur risico's kunnen creëren voor blockchainapplicaties zonder de blockchainprotocol zelf te compromitteren. Voor Ethereum-validators blijft het handhaven van veilige clientsoftware en certificaatconfiguraties essentieel om operationele infrastructuur en mogelijke beloningen te beschermen.