eMudhra sertifikavimo centro klaida leido klastoti patikimus TLS ir kodo pasirašymo sertifikatus
Trumpai: Cisco Talos atskleidė, kad aštuoni eMudhra išduoti tarpiniai sertifikatai buvo sugeneruoti su kritiškai silpnais privačiais raktais per 2025 m. balandžio mėn. raktų generavimo ceremoniją — kai kurie turėjo vos 3-8 bitus entropijos vietoj reikalaujamų 384. Dėl to privačius raktus buvo trivialiai lengva atkurti, leidžiant užpuolikui apsimesti bet kuria TLS svetaine arba suklastoti kodo pasirašymo sertifikatus. Chrome, Mozilla ir Apple jau blokavo šešis paveiktus TLS sertifikatus; Microsoft blokavo du kodo pasirašymo sertifikatus. eMudhra atšaukė sertifikatus ir sustabdė naujų išdavimą pagal savo G3 šaknį, o Go komanda išleido Go 1.27.3 ir 1.26.10 (CVE-2026-111943), nes Go turi savo sertifikatų tikrinimo logiką, nepriklausančią nuo sistemos.
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „Cisco Talos“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1Aštuoni eMudhra tarpiniai CA sertifikatai (6 TLS, 2 kodo pasirašymui) turėjo kritiškai silpnus privačius raktus (3-8 bitai entropijos vietoj 384)
- 2Klaida kilo per 2025 m. balandžio 30 d. raktų generavimo ceremoniją 24 antriniams CA pagal emSign Root TLS CA - G3
- 3Chrome, Mozilla, Apple užblokavo šešis TLS sertifikatus; Microsoft užblokavo du kodo pasirašymo sertifikatus
- 4eMudhra atšaukė pažeistus sertifikatus ir sustabdė naujų išdavimą pagal G3 šaknį
- 5Go priskyrė CVE-2026-111943 ir išleido Go 1.27.3 bei 1.26.10, kurie filtruoja grandines pagal aštuonių pažeistų sertifikatų SPKI maišas
- 6Iki 2026 m. spalio 21 d. 14:00 UTC nepatvirtinta išnaudojimo atvejų
Kodėl tai svarbu?
Kadangi pasitikėjimas šiais sertifikatais plinta grandine žemyn, bet kuri sistema, kuri vis dar jais pasitiki ir tinkamai netikrina atšaukimo — VPN šliuzai, tarpiniai serveriai, apkrovos balansuotojai, įterptiniai/IoT įrenginiai, CI/CD konvejeriai, konteinerių laikymo aplinkos — išlieka pažeidžiama MITM atakoms net po to, kai naršyklių tiekėjai užblokavo raktus. Go pagrindu veikiančiai infrastruktūrai (Docker, Kubernetes, Terraform, Prometheus) reikėjo atskiro pataisymo, nes Go savo sertifikatų tikrinimą įgyvendina nepriklausomai nuo OS pasitikėjimo saugyklų.
Ką tai reiškia AI agentams ir kontaktų centrams?
Verta patikrinti bet kurią serverio pusės ar agentų naudojamą programinę įrangą, kuri atlieka TLS terminavimą per SIP/VoIP, API šliuzus, VPN, atvirkštinius tarpinius serverius ar Go pagrindu veikiančius įrankius jūsų infrastruktūroje dėl paveiktų eMudhra tarpinių sertifikatų ir atnaujinti pasitikėjimo saugyklas arba Go vykdymo aplinką (1.27.3/1.26.10); ypatingą dėmesį verta skirti įrenginiams ir prietaisams su įmontuotomis CA saugyklomis, kurios negauna automatinių atšaukimo atnaujinimų.
Šaltiniai
- Cisco TalosOficialusPirminis šaltinisOriginalus straipsnis →„Compromised eMudhra intermediate certificates“2026-10-21 23:43
- Šaltinio publikavimo data
- 2026-10-21 23:43
- Mūsų sistema rado
- 2026-10-21 23:55
- Santrauka sugeneruota
- 2026-10-21 23:56
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas