Společnost Mozilla oznámila výměnu GPG klíče, který se používá k podepisování digitálních podpisů artefaktů vydání Firefoxu a Thunderbirdu, jako jsou tar archivy, RPM balíčky a soubory s kontrolními součty. Výměna byla provedena v souvislosti s incidentem, při kterém se omylem nezabezpečená kopie klíče dostala do soukromého repozitáře společnosti na GitHubu, přístupného omezenému počtu účastníků projektu, kteří měli přístup k použití klíče prostřednictvím interních služeb.
Analýza auditních logů neodhalila důkazy o přístupu třetích stran ke klíči během jeho uložení v repozitáři na GitHubu. Pro většinu uživatelů výměna klíče nebude vyžadovat žádné akce. Výjimkou jsou pouze uživatelé, kteří ručně ověřují digitální podpisy nebo instalují RPM balíčky s oficiálními verzemi Firefoxu od Mozilly. V těchto případech bude nutné explicitně importovat nový veřejný klíč a odvolat starý.
Uživatelé Fedory do verze 42 včetně (ve Fedoře 43 bude klíč vyměněn automaticky) a RHEL/Rocky/Almalinux musí provést: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
V openSUSE a SUSE: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Zdroj: opennet.ru
