Mozilla заблокировала скомпрометированные сертификаты eMudhra: что обновить

Mozilla 20 октября выпустила Firefox 158.0.1 и обновления ESR после компрометации ключей восьми промежуточных сертификатов eMudhra. Это отдельное событие безопасности, не связанное с недавно опубликованными новыми функциями Firefox 158.

Почему проблема важна

Такие ключи могли позволить выпускать поддельные HTTPS-сертификаты для чужих сайтов. Для чтения или изменения трафика злоумышленнику также потребовалась бы возможность перехватить соединение. Поэтому речь идёт о нарушении доверия к конкретным сертификатам, а не о доказанном взломе всех защищённых сайтов.

Защита пришла ещё до обновления

Mozilla получила сообщение 17 октября и в тот же день распространила блокировку через OneCRL. Для Firefox со стандартной конфигурацией она не требовала перезапуска или установки новой версии. Выпуски от 20 октября добавляют защиту пользователям, чьи особые настройки могли помешать получить эту блокировку.

Какие версии проверить

В официальном сообщении перечислены Firefox 158.0.1 для компьютеров и Android, ESR 115.43.1 и ESR 153.5.1. Также обновляется NSS до 3.131.1 с изменениями списка доверенных сертификатов для других приложений. Пользователю стоит проверить обновления браузера, а администратору — отдельно учесть программы со своими хранилищами доверия. Наличие обновлённого браузера само по себе не подтверждает обновление всех библиотек и сервисов на сервере.

По материалам: Firefox Security Team, Mozilla. Самостоятельный пересказ BrookStone.