HCLSoftware Notes Client: Vertrauensumgehung durch kompromittierte eMudhra-Zwischenzertifizierungsstellen-Schlüssel
Zusammenfassung
Die privaten Schlüssel von acht eMudhra-Zwischenzertifizierungsstellen wurden kompromittiert, wodurch das Zertifikatsvertrauen für ausgehende Netzwerkanfragen im HCL Notes Client betroffen ist. Ein nicht authentifizierter Netzwerkangreifer, der über diese Schlüssel verfügt, kann Serverzertifikate fälschen und einen Man-in-the-Middle-Angriff durchführen, um ausgehende TLS-Verbindungen abzufangen oder zu verändern. Die Schwachstelle wird vom CNA mit CRITICAL (CVSS v4.0 9.1) bewertet, die NVD-Analyse steht jedoch noch aus.
Betroffen
- HCLSoftware Notes Client 2.0.2 FP8 und früher (genaue Bereichsangabe im CNA-Eintrag fehlerhaft, bei HCL bestätigen)
- HCLSoftware Notes Client 14.0 FP5 und früher
- HCLSoftware Notes Client 14.5
- HCLSoftware Notes Client 14.5.1 FP1 und früher
- Die Standardkonfiguration wird als nicht betroffen aufgeführt.
Behoben in
Unbekannt.
Umgehung
Unbekannt. Es ist kein Workaround von HCL bekannt. Bei HCL erfragen, ob Notes Client den Trust Store des Betriebssystems oder eine eigene mitgelieferte Vertrauensliste verwendet, da davon abhängt, ob Betriebssystem-Updates das Vertrauen entfernen.
Ausnutzung
- Ausnutzung in freier Wildbahn ist nicht bekannt.
- Nicht im CISA-KEV-Katalog gelistet.
- Die Schlüsselwiederherstellung ist laut Forschungsquellen öffentlich demonstriert.
- eMudhra gibt an, dass nur eine Zwischenzertifizierungsstelle produktiv eingesetzt wurde und keine End-Entity-Zertifikate ausgestellt wurden (Herstellerangabe, nicht unabhängig verifiziert).
Unsere Empfehlung
- Prüfen, ob HCL Notes Client eingesetzt wird und ob eine betroffene Version vorliegt.
- Bei HCL die fixe Version und die genauen betroffenen Versionen erfragen und KB0134749 lesen.
- Prüfen, ob Betriebssystem- oder CA-Bundle-Updates die betroffenen eMudhra-Zwischenzertifizierungsstellen entfernt haben, und diese einspielen.
- Container-Images, die CA-Zertifikate enthalten, neu bauen.
- Die PSIRT-Informationen von HCL zu verwandten eMudhra-Java-Problemen prüfen (CVE-2026-91403, CVE-2026-114820).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HCL Knowledge Base KB0134749 support.hcl-software.com
- Tenable CVE record www.tenable.com
- eMudhra certificate security incident emudhra.com
- HCL PSIRT community blog support.hcl-software.com
- Google Chrome blog on compromised eMudhra intermediate CAs blog.google
- Aikido analysis of eMudhra CA compromise www.aikido.dev
- The Hacker News report on eMudhra CA keys thehackernews.com
- ENISA EUVD entry euvd.enisa.europa.eu
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.