Mozilla ilmoitti korvaavasta GPG-avaimesta, jota käytetään Firefoxin ja Thunderbirdin julkaisutiedostojen, kuten tarballien, RPM-pakettien ja tarkistussummatiedostojen, digitaaliseen allekirjoittamiseen. Korvaus tehtiin sen jälkeen, kun avaimesta oli vahingossa lisätty salaamaton kopio yrityksen yksityiseen GitHub-arkistoon, johon rajoitettu määrä projektin osallistujia pääsi käsiksi sisäisten palveluiden kautta.
Tarkastuslokien analyysi ei paljastanut todisteita siitä, että kolmas osapuoli olisi käyttänyt avainta sen ollessa GitHub-arkistossa. Useimmille käyttäjille avaimen korvaaminen ei vaadi mitään toimia. Ainoat poikkeukset ovat ne, jotka tarkistavat digitaaliset allekirjoitukset manuaalisesti tai asentavat RPM-paketteja virallisilla Mozilla Firefox -koontiversioilla. Näissä tapauksissa heidän on erikseen tuotava uusi julkinen avain ja peruutettava vanha.
Fedoran käyttäjille versiosta 42 alkaen (Fedora 43:ssa avain korvataan automaattisesti) ja RHEL/Rocky/Almalinux Sinun täytyy suorittaa seuraava komento: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
openSUSE- ja SUSE-käyttöjärjestelmissä: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Lähde: opennet.ru
