Microsoft выпустила внеплановые обновления Windows, отзывающие доверие к сертификатам eMudhra

Microsoft выпустила внеплановые (out-of-band) обновления Windows, которые отзывают доверие к сертификатам, связанным со скомпрометированными ключами удостоверяющего центра eMudhra. Обновления адресованы системам, не получающим автоматических обновлений списков доверия.

26 октября вышли два пакета: KB5134133 для Windows 11 версий 24H2, 25H2 и 26H2 и KB5134125 для Windows 10 версий 21H2 и 22H2. Они предназначены для компьютеров без доступа к интернету, для устройств, которые не могут связаться со службой обновления сертификатов Microsoft, а также для систем, где автоматическое обновление списка доверия сертификатов (Certificate Trust List, CTL) отключено.

Восемь ключей и 256 вариантов

Поводом стало обнаружение восьми закрытых ключей промежуточных удостоверяющих центров eMudhra, настолько слабых, что восстановить их можно было почти мгновенно. Все восемь сгенерированы в апреле 2025 года, и значение каждого было меньше 256: чтобы подобрать ключ, достаточно перебрать всего 256 чисел.

Такие ключи позволяли злоумышленникам подделывать сертификаты легитимных сайтов и перехватывать зашифрованный трафик. После раскрытия проблемы eMudhra отозвала восемь скомпрометированных промежуточных сертификатов, а Mozilla, Google, Apple и другие производители ПО тоже начали их блокировать.

Что уже сделала Microsoft

Ранее Microsoft внесла все восемь промежуточных центров в список недоверенных сертификатов Windows: шесть из них использовались для TLS, два — для подписи кода. Для Microsoft Edge и WebView2 компания выпустила обновление CRLSet, которое заблокировало затронутые TLS-сертификаты без обновления самого браузера.

Новое обновление идёт дальше и удаляет из списка доверия Windows семь сертификатов, относящихся к затронутым иерархиям: шесть корневых сертификатов eMudhra G3 и кросс-подпись AAA Certificate Services. Тем самым отзывается доверие и к корневым сертификатам, которыми проверяются другие сертификаты этого центра. Из списка доверия Edge те же семь сертификатов планировалось удалить 27 октября.

В Microsoft подчёркивают, что удаление корневого сертификата из списка доверия — не то же самое, что отзыв известных скомпрометированных промежуточных центров. Это отдельное и более широкое решение. Организации с особыми требованиями к совместимости могут доверять сертификату локально, но на основании собственной оценки безопасности и внутренних политик.

Администраторам рекомендуется установить обновление на изолированных системах Windows и выявить сертификаты, зависящие от удалённых корней: возможно, их придётся заменить. Компания также изучает остальные корневые сертификаты eMudhra и при необходимости может внести дополнительные изменения.

Источник: Bleeping Computer