Tvrtka Mozilla najavila je zamjenu GPG ključa koji se koristi za potpisivanje digitalnih potpisa artefakata izdanja Firefox i Thunderbird, kao što su tar arhivi, RPM paketi i datoteke s kontrolnim zbrojevima. Zamjena je izvršena zbog incidenta u kojem je nešifrirana kopija ključa nenamjerno dodana u privatni repozitorij tvrtke na GitHubu, koji je bio dostupan ograničenom broju sudionika projekta koji su imali pristup korištenju ključa putem internih usluga.
Analiza audit logova nije pokazala dokaze o pristupu trećih osoba ključu tijekom njegova boravka u repozitoriju na GitHubu. Za većinu korisnika zamjena ključa neće zahtijevati nikakve radnje. Iznimke čine samo korisnici koji ručno provjeravaju digitalne potpise ili instaliraju RPM pakete s službenim izdanjima Firefoxa od Mozille. U tim slučajevima bit će potrebno izričito uvesti novi javni ključ i povući stari.
Korisnici Fedora-e do verzije 42 uključivo (u Fedora 43 ključ će biti zamijenjen automatski) i RHEL/Rocky/Almalinux trebaju izvršiti: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
U openSUSE i SUSE: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Izvor: opennet.ru
