A Mozilla anunciou a substituição da chave GPG usada para assinar digitalmente artefatos das versões do Firefox e Thunderbird, como arquivos tar, pacotes RPM e arquivos de somas de verificação. A substituição foi feita devido a um incidente em que uma cópia não criptografada da chave foi inadvertidamente adicionada a um repositório privado da empresa no GitHub, acessível a um número limitado de participantes do projeto que tinham acesso ao uso da chave através de serviços internos.
A análise dos logs de auditoria não revelou evidências de acesso de terceiros à chave enquanto ela estava no repositório do GitHub. Para a maioria dos usuários, a substituição da chave não exigirá a realização de quaisquer ações. As exceções são apenas os usuários que verificam manualmente as assinaturas digitais ou instalam pacotes RPM com as compilações oficiais do Firefox da Mozilla. Nestes casos, será necessário importar explicitamente a nova chave pública e revogar a antiga.
Usuários do Fedora até a versão 42 inclusive (no Fedora 43 a chave será substituída automaticamente) e RHEL/Rocky/Almalinux devem executar: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all
No openSUSE e SUSE: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh
Fonte: opennet.ru
