Mozilla ו-Google אישרו ב-20 באוקטובר שהמפתחות הפרטיים של שמונה תעודות ביניים (intermediate CA) של רשות האישורים eMudhra נחשפו. המפתחות לא נגנבו: הם נוצרו עם אקראיות לא מספקת, כך שאפשר לחשב אותם מהתעודות הציבוריות.
הפרטים
חוקר דיווח על הבעיה ב-17 באוקטובר. לפי הדיווחים, Chrome חסם שש תעודות TLS באמצעות CRLSet כבר באותו ערב, ו-Mozilla השלימה חסימה ב-OneCRL והסירה את השורש emSign ECC Root CA – G3. Apple ו-Microsoft חסמו את התעודות ב-19 וב-20 באוקטובר. שתיים מהשמונה הן תעודות לחתימת קוד. גם עותקים של Sectigo עם אותם מפתחות ציבוריים מושפעים.
לטענת eMudhra, תקלה בטקס יצירת המפתחות מ-30 באפריל 2025 יצרה סט מפתחות חלש שפורסם לחנויות השורשים; רק תעודת ביניים אחת הייתה בשימוש בייצור, ואף אחת לא הנפיקה תעודות ללקוחות קצה. בדיקת Certificate Transparency של Chrome לא מצאה תעודות TLS שנחתמו על ידי שש התעודות לפני החסימה, אך CT מכסה רק תעודות מתועדות, ולכן אי אפשר לשלול ניצול.
גם שפת Go פרסמה עדכון חירום (Go 1.27.3 ו-1.26.10, CVE-2026-111943) שדוחה שרשראות דרך המפתחות האלה, בלי לנקוב בשם הרשות. הפוסט הזה מוסיף את הזהות והסיבה.
נקודות לשים לב
- דפדפנים מקבלים את החסימה אוטומטית. בדוק תוכנות, ספריות וקונטיינרים שמחזיקים חבילת שורשים משלהם או שאינם בודקים ביטול.
- תוכניות שנבנו ב-Go דורשות הידור מחדש עם הגרסאות המתוקנות; הסינון אינו ניתן לכיבוי.
- Mozilla ממליצה לחסום את שמונה התעודות היכן שהתוכנה מאפשרת, ואחרת לשקול הסרת אמון מהשורשים שחתמו עליהן.
- הסרת שורשים בחבילות כמו certifi עלולה לשבור גם תעודות לגיטימיות שנשרשות אליהן. בדוק לפני פריסה.
- אין ראיה לניצול בפועל, אבל היעדר ראיה אינו הוכחה. אל תסיק שלא הייתה חשיפה.
מקורות: The Hacker News · Mozilla Security Blog
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
