C21/100
Vulnerabilidade · alta
Problemas com certificados da eMudhra levam à revogação de certificados TLS e a correção da Apple no macOS
Tier C · Fique de olho – Veja se você é afetado
Quem está exposto: Sistemas com certificados TLS emitidos pela eMudhra
Tier C porque: Atinge times de tecnologia
Alcance
Ataque
Dano
Correção
O que fazer
- Verificar se algum certificado em uso foi emitido pela eMudhra ou por um intermediário revogado
Em resumo
- A autoridade certificadora eMudhra teve falha no processo de geração e transferência de chaves criptográficas, que produziu certificados afetados.
- A empresa revogou mais oito certificados intermediários, segundo novo relatório de incidente publicado na plataforma Bugzilla da Mozilla.
- O relatório decorre de uma auditoria interna sobre a gestão de chaves privadas.
Por que importa
A revogação de certificados intermediários de uma autoridade pode afetar a confiança de sites e serviços que dependem deles, então vale verificar se a sua infraestrutura usa certificados dessa cadeia.
O checklist por trás do tier
Checklist · 1 de 10 com sim
| Sim | Atinge times de tecnologia | Certificados TLS da eMudhra são usados por times de TI e operações que mantêm serviços e sites. |
| Não | Infraestrutura central | eMudhra é uma autoridade certificadora de nicho, não software que quase todo time opera. |
| Não | Ferramenta popular | eMudhra é um fornecedor regional de certificados, não um framework ou ferramenta amplamente usada por desenvolvedores. |
| Não | Explorada | SempreUpdate e TugaTech relatam falha de processo interno e revogações, não ataques observados. |
| Não | Exploit público | Nenhuma das fontes menciona código de exploit ou prova de conceito publicada. |
| Não | Remota, sem login | As fontes descrevem falha de geração e gestão de chaves pela própria autoridade, sem vetor de ataque remoto. |
| Não | Controle total | As fontes falam em revogação de certificados, sem execução de código ou acesso administrativo. |
| Não | Segredos expostos | SempreUpdate e TugaTech citam falhas na gestão de chaves, mas não relatam roubo ou exposição de chaves privadas. |
| Não | Cadeia de suprimentos | As fontes relatam falha interna de certificação, sem código malicioso distribuído por canal de desenvolvedores. |
| Não | Ainda sem correção | As fontes não dizem que ainda não há correção; apenas relatam revogações em andamento. |
Linha do tempo
Cobertura completa · 3 fontes
Visto pela primeira vez · 3 fontes · Página completa da notícia · Como os tiers são decididos