Teku et Besu ont publié des correctifs contre un risque lié aux certificats eMudhra. Les versions Teku 26.10.3 et Besu 26.10.2 retirent certaines autorités de confiance de leurs images Docker. Des configurations exposées pouvaient accepter de faux services et détourner des frais de production de blocs.

Sommaire : L’origine du problème · Les installations concernées · Les correctifs · Mon avis

Des certificats compromis, pas une rupture du protocole Ethereum

L’avis Teku décrit huit autorités intermédiaires eMudhra dont les clés privées pouvaient se déduire des certificats publics.

Un attaquant interceptant une connexion HTTPS pouvait usurper un service externe. Java ne vérifie pas la révocation par défaut.

L’alerte concerne des connexions externes, sans démontrer une cassure des signatures Ethereum.

Un nœud Teku mainnet par défaut n’est pas touché

Selon les mainteneurs, un nœud Teku mainnet par défaut, sans URL HTTPS configurée, n’est pas concerné. Aucune exploitation n’est signalée.

Certaines configurations avec signataire externe ou nœud distant risquaient un détournement des frais. Le signataire externe constitue le scénario le plus sensible.

Cette alerte diffère du problème de dépôts examiné dans notre article sur le correctif Glamsterdam. Il faut distinguer les règles du protocole des services et dépendances utilisés par les opérateurs.

Teku 26.10.3 et Besu 26.10.2 : vérifier aussi Java

Les notes officielles datent Teku 26.10.3 du 27 octobre et Besu 26.10.2 du 26 octobre. Elles confirment le retrait de quatre racines dans les images Docker : emSign ECC Root CA G3, emSign Root CA G1, emSign Root CA G2 et AAA Certificate Services.

Ces images regroupent le logiciel et son environnement d’exécution. Leur correction ne met pas à jour Java installé séparément sur la machine hôte. Inversement, modifier Java sur l’hôte ne corrige pas automatiquement celui d’une ancienne image.

Pour une installation Besu par archive tar ou zip, les mainteneurs demandent de vérifier le JDK utilisé. La même distinction concerne les distributions binaires de Teku. Il faut suivre les consignes correspondant au fournisseur Java, plutôt que vérifier seulement le numéro du client Ethereum.

L’avis Teku recommande de remplacer Java 26, en fin de maintenance, par Java 25. Les opérateurs doivent suivre les consignes adaptées à leur installation.

🔍 DUC, mon avis

Je retiens qu’une infrastructure blockchain dépend aussi de logiciels et de services extérieurs. Cependant, cette alerte ne justifie pas d’annoncer un piratage général d’Ethereum. Pour moi, la priorité consiste à identifier l’exposition réelle, puis à vérifier chaque environnement corrigé. Une mise à jour annoncée ne prouve pas son déploiement.

✍️ DUC
Sources d’origine : Teku — avis de sécurité eMudhra ; Teku — version 26.10.3 ; Besu — version 26.10.2.