B42/100
脆弱性 · 高
eMudhra中間CA秘密鍵の流出とブラウザ外側の脆弱性
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： eMudhra発行の中間CAを信頼する証明書利用者
ティアBの理由： 完全な乗っ取り または シークレットの流出 または サプライチェーン
影響範囲
攻撃
被害
修正
シークレットの流出
要点
- 2026年10月17日、インドの認証局eMudhraが発行した中間CAの秘密鍵8件が、第三者に復元できる状態だったことが報告された。
- 記事ではChrome、Firefox、Apple、Microsoftなどブラウザやプラットフォーム側の対応が論点として挙げられている。
- 記事は、この問題をブラウザの外側にある認証局運用の穴として位置づけている。
なぜ重要か
中間CAの秘密鍵が第三者の手に渡ると、そのCAの名前で証明書を偽造される恐れがあるため、eMudhra発行の証明書に依存するシステムでは信頼チェーンと失効対応の確認が必要になる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中2項目が「はい」
| はい | 開発者に影響 | 認証局は企業のIT部門が証明書発行に使うサービスであり、開発や運用にも関わる。 |
| いいえ | 基幹インフラ | 影響を受けたのはeMudhra1社の中間CAであり、ほぼすべてのチームが使う基幹ソフトウェアではない。 |
| いいえ | 人気ツール | eMudhraはインドの認証局で、一般的な開発技術やツールとしては広く使われていない。 |
| いいえ | 悪用確認済み | Qiita: 秘密鍵が第三者に復元できる状態だったと報じられたが、実際の悪用は記事に記載がない。 |
| いいえ | 公開エクスプロイト | Qiita: 公開されたエクスプロイトや詳細な手順については記事に記載がない。 |
| いいえ | 認証不要のリモート攻撃 | Qiita: 攻撃者が認証なしでネットワーク経由で悪用できたかは記事に記載がない。 |
| いいえ | 完全な乗っ取り | Qiita: コード実行や管理者権限の取得については記事に記載がない。 |
| はい | シークレットの流出 | Qiita: 中間CAの秘密鍵8件が第三者に復元できる状態だったと報告された。 |
| いいえ | サプライチェーン | Qiita: 悪意あるコードの配布経路が侵害されたとは記事に記載がない。 |
| いいえ | 修正なし | Qiita: 修正状況や未修正の有無については記事に記載がない。 |
タイムライン
eMudhraの中間CA秘密鍵8件が第三者に復元可能な状態だったことが報告される
Securityタグが付けられた新着記事 - Qiita
eMudhra事件で見えた、ブラウザの外側の穴
出典
eMudhra事件で見えた、ブラウザの外側の穴 ↗ Securityタグが付けられた新着記事 - Qiita · 2時間前