A Mozilla bejelentette a GPG-kulcs cseréjét, amelyet a Firefox és a Thunderbird kiadási artefaktumainak digitális aláírásaként használnak, például tar-archívumok, RPM-csomagok és ellenőrzőösszeg fájlok. A csere egy incidens miatt történt, amelynek során a kulcs titkosítatlan másolatát véletlenül egy zárt GitHub-repozitóriumba tették, amelyhez a projekt korlátozott számú résztvevője férhetett hozzá, akik belső szolgáltatásokon keresztül használták a kulcsot.
A naplóellenőrzés elemzése nem tárt fel bizonyítékokat arra, hogy harmadik felek hozzáfértek volna a kulcshoz, amíg az a GitHub-repozitóriumban volt. A legtöbb felhasználó számára a kulcs cseréje nem igényel semmilyen beavatkozást. Kivételt képeznek azok a felhasználók, akik manuálisan ellenőrzik a digitális aláírásokat vagy RPM-csomagokat telepítenek a Mozilla hivatalos Firefox-verzióival. Ezekben az esetekben szükséges a új nyilvános kulcs kifejezett importálása és a régi visszavonása.
A Fedora 42 kiadásáig felhasználóknak (a Fedora 43-ban a kulcs automatikusan cserélve lesz) és a RHEL/Rocky/Almalinux esetében szükség van a következő parancsok végrehajtására: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
openSUSE és SUSE esetén: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Forrás: opennet.ru
