Kompania Mozilla njoftoi pĂ«r kompromitimin e çelĂ«save tĂ« mbyllura tĂ« lidhur me tetĂ« certifikatat e ndĂ«rmjetme (dytĂ«sore) tĂ« autoritetit tĂ« certifikimit eMudhra. ĂelĂ«sat e komprometuar lejonin lĂ«shimin e sertifikatave TLS tĂ« falsifikuara pĂ«r çdo faqe interneti, tĂ« cilat perceptoheshin si tĂ« besueshme nĂ« tĂ« gjitha shfletuesit, dhe t'i pĂ«rdornin ato pĂ«r tĂ« kapur ose modifikuar trafikun e transitit.
ĂelĂ«sat e mbyllur u riparuan nga studiuesit nga tĂ« dhĂ«nat e disponueshme publikisht, gjĂ« qĂ« u bĂ« e mundur pĂ«r shkak tĂ« njĂ« gabimi gjatĂ« procesit tĂ« gjenerimit tĂ« çelĂ«save mbi bazĂ«n e kurbĂ«s eliptike P-384. Gabimi çoi nĂ« atĂ« qĂ« çelĂ«sat u gjeneruan duke pĂ«rdorur numra tĂ« plotĂ« mĂ« tĂ« vegjĂ«l se 256 nĂ« vend tĂ« numrave tĂ« rastit tĂ« qĂ«ndrueshĂ«m kriptografik, dmth. madhĂ«sia e çelĂ«sit tĂ« mbyllur ishte 1 byte nĂ« vend tĂ« 48 byteve tĂ« duhur. Me njĂ« gjenerim tĂ« tillĂ«, çelĂ«si i mbyllur mund tĂ« riprodhohet me algoritmin e logaritmit diskret ose me provimin e thjeshtĂ« duke gjeneruar 256 çelĂ«sat e mundshĂ«m tĂ« parĂ«. PĂ«rsa kohĂ« qĂ« vlerat e çelĂ«save tĂ« mbyllura tani njihen (4, 56, 66, 115, 155, 156, 230 dhe 237), tĂ« gjithĂ« pĂ«rdoruesit rekomandohen tĂ« pĂ«rditĂ«sojnĂ« menjĂ«herĂ« shfletuesit dhe paketat me certifikatat e korit.
Si provë e rrjedhjes së çelësave të mbyllur, studiuesi që raportoi incidentin publikoi një mesazh të firmosur me çelësat e mbyllur nga secili nga tetë certifikatat e komprometuar eMudhra. Për të kontrolluar shfletuesin tuaj për përditësimin e informacionit mbi certifikatat e tërhequra, mund të vizitoni faqen e dedikuar incidentit.
Janë formuar me urgjencë versionet e korrigjuara të Firefox 158.0.1, 115.43.1 dhe 153.5.1, si dhe bibliotekat NSS 3.131.1, në të cilat është përditësuar depoja e certifikatave të korit dhe janë bllokuar certifikatat problematike. Në Chrome dhe produktet Google, certifikatat e komprometuara janë bllokuar më 17 tetor, në Apple më 19 tetor, dhe në Microsoft më 20 tetor. Bllokimi është realizuar gjithashtu përmes listave të centralizuara të certifikatave të tërhequra OneCRL, CRLite dhe CRLSets.
Paketa me certifikatat e përditësuara të korit janë lëshuar për Ubuntu (ca-certificates 20260816ubuntu0.2*.04.1), Debian (ca-certificates 20250419+deb13u1), Arch Linux (ca-certificates-mozilla 3.131.1-1), Gentoo (ca-certificates 20260816.3.125), curl, Homebrew, Go (1.27.3, 1.26.10), Python, RustTLS, Electron dhe Elixir. Të pa përditësuara mbeten listat e certifikatave të korit në FreeBSD, Node.js, Bun dhe Composer.
Për të përditësuar paketën ca-certificates për të hequr manualisht certifikatat problematike rrënjë në Debian dhe Ubuntu, mund të përdorni komandën:
sed -i \
-e âs|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|â \
-e âs|^mozilla/Comodo_AAA_Services_root.crt|!&|â \
/etc/ca-certificates.conf && update-ca-certificates
NĂ« Fedora, RHEL, CentOS Stream, Rocky Linux, AlmaLinux dhe Amazon Linux 2023:
d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist
trust extract âoverwrite âformat=pem-bundle \
âfilter=âpkcs11:object=ComodoAAAServicesroot;type=certâ \
$d/Comodo_AAA_Services_root.pem &&
trust extract âoverwrite âformat=pem-bundle \
âfilter=âpkcs11:object=emSignECCRootCA-G3;type=certâ \
$d/emSign_ECC_Root_CA_-_G3.pem &&
update-ca-trust
NĂ« openSUSE dhe SLES:
d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist
trust extract âformat=pem-bundle \
âfilter=âpkcs11:object=ComodoAAAServicesroot;type=certâ \
$d/Comodo_AAA_Services_root.pem &&
trust extract âformat=pem-bundle \
âfilter=âpkcs11:object=emSignECCRootCA-G3;type=certâ \
$d/emSign_ECC_Root_CA_-_G3.pem &&
update-ca-certificates
NĂ« NixOS:
security.pki.caCertificateBlacklist = [
«Comodo AAA Services root»
«emSign ECC Root CA â G3»
];
NĂ« NetBSD:
certctl untrust /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem &&
certctl untrust /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem
Burimi: opennet.ru
