認証局の弱い鍵で偽の証明書が作れる、端末の更新を
原題：4 real? Tracking exploitation and patching of eMudhra’s weak keys
何が起きた
認証局 eMudhra の中間鍵8本が極めて弱く、公開証明書から誰でも復元でき、未更新の端末が信用する偽の証明書を作れます。Cloudflare は公開直後に偽造された証明書を確認しましたが、傍受の証拠はまだなく、主要ネットワークでは半数超の端末が未対応です。
誰に影響
- 開発用 Mac や社内端末を管理している人
- 自社でボットやクライアント software を運用する人
- Cloudflare WARP や Tunnel を使っている人
何をすべき
OS・ブラウザ・開発環境(特に macOS 開発者)を最新に更新し、Dennis Jackson 氏の手順サイトを確認してください。Cloudflare の WARP や Tunnel を使う場合は Cloudflare の前回ブログの対応を実施してください。
対象の製品と版
| 製品 | 影響する版 | 修正版 |
|---|---|---|
| eMudhra 発行の中間証明書を信頼するブラウザ・OS・クライアント | 要確認 | 要確認 |
| Android WebView | 要確認(30〜40%が受け入れ継続) | 要確認 |
この FLAG にした理由
影響は深刻で偽造証明書の作成も確認されたが、実際の通信傍受は確認されておらず、悪用の確定とは言い切れないため。
二重黄旗：大きな危険、止まれる準備を — 深刻な影響があり、攻撃コードの公開や悪用の報告があるもの。RED の根拠を確認中のものも含みます。