Teku 26.10.3 entfernt eMudhra-Wurzeln nach geknackten CA-Schlüsseln
Serguey Asael Shinder2 Min. LesezeitEine Schwäche in den Schlüsseln einer indischen Zertifizierungsstelle hat die Konsens-Clients von Ethereum erreicht. Teku, der Konsens-Client von Consensys, veröffentlichte am 27. Oktober Version 26.10.3 als empfohlenes Update zu CVE-2026-111943. Die Docker-Images vertrauen vier Wurzelzertifikaten der eMudhra-Marke emSign und von Sectigo nicht mehr, die OpenJDK entfernt hat, nachdem die Zwischenzertifizierungsstellen von eMudhra kompromittiert wurden.
Laut Teku-Sicherheitshinweis zeigte sich am 17. Oktober, dass sich die privaten Schlüssel von acht emSign-Zwischenstellen aus ihren öffentlichen Zertifikaten berechnen ließen. Sie wurden am Tag darauf widerrufen, Browser, Betriebssysteme und Go sperrten sie. Java prüft Widerrufe standardmäßig aber nicht, sodass jede Java-Laufzeit ohne die beiden OpenJDK-Korrekturen vom 20. und 23. Oktober ein mit diesen Schlüsseln gefälschtes Zertifikat akzeptiert. Das gilt für jedes Teku-Docker-Image bis 26.10.2.
Der Hinweis benennt die Gefährdung genau. Ein Standardknoten im Mainnet ohne https://-Adressen in der Konfiguration ist nicht betroffen und muss nichts tun; das Peer-to-Peer-Netz nutzt keine Zertifizierungsstellen. Betroffen ist Teku, wenn es per HTTPS einen anderen Rechner anspricht: einen externen Signer, einen entfernten Beacon-Knoten für einen Validator-Client, eine Proposer-Konfiguration von einer URL, einen Builder oder ein Relay oder Checkpoint- und Genesis-Daten beim Start. Wer diesen Verkehr abfangen kann, könnte den Endpunkt imitieren. Über einen entfernten Beacon-Knoten ließen sich Validatoren dazu bringen, Blöcke vorzuschlagen, deren Gebühren an den Angreifer gehen; über einen falschen externen Signer könnte er Signaturen für freiwillige Austritte erhalten, die unumkehrbar sind. Ausnutzungen sind nicht bekannt.
Docker-Nutzer sollten auf das neue Image wechseln. Wer Teku direkt betreibt, muss die eigene Java-Installation korrigieren, und Java 26 erhält keine Updates mehr, sodass ein Wechsel auf Java 25 nötig ist. Laut CoinDesk hat Besu mit 26.10.2 ein entsprechendes Update veröffentlicht.
Was das bedeutet
Der Fall zeigt eine selten beachtete Lieferkette: Validator-Software erbt ihre Vertrauensentscheidungen von der Laufzeit, mit der sie ausgeliefert wird. Der Widerruf wirkte bei Browsern binnen eines Tages; Java-Nutzer hingen an einem Laufzeit-Update, das eine weitere Woche bis in die Images brauchte. Konfigurationen mit Signer und Beacon-Knoten auf localhost oder im privaten Netz waren von vornherein deutlich weniger gefährdet.