Компания Mozilla обяви за смяна на GPG ключа, използван за удостоверяване на цифрови подписи на артефакти от релизите на Firefox и Thunderbird, като tar архиви, RPM пакети и файлове с контролни суми. Смяната беше извършена във връзка с инцидент, при който незашифрована версия на ключа бе по недоглеждане добавена в частно хранилище на компанията в GitHub, достъпно за ограничен брой участници в проекта, които имаха достъп до прилагането на ключа чрез вътрешни услуги.
Анализът на одитния лог не е установил доказателства за достъп на трети лица до ключа по време на неговото пребиваване в хранилището на GitHub. За повечето потребители смяната на ключа не изисква предприемането на никакви действия. Изключение правят само потребителите, които ръчно проверяват цифровите подписи или инсталират RPM пакети с официалните версии на Firefox от Mozilla. В тези случаи ще е необходимо явно да се импортира новият публичен ключ и да се отзове старият.
На потребителите на Fedora до версия 42 включително (в Fedora 43 ключът ще бъде заменен автоматично) и RHEL/Rocky/Almalinux е необходимо да изпълнят: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
В openSUSE и SUSE: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Източник: opennet.ru
