Mozilla::CA: Vertrauen in kompromittierte eMudhra-Zwischenzertifizierungsstellen
Zusammenfassung
Das Perl-Modul Mozilla::CA liefert ein CA-Zertifikatsbündel, das die Root-Zertifizierungsstelle emSign ECC Root CA - G3 enthält. Diese Root führt zu acht eMudhra-Zwischenzertifizierungsstellen, deren private Schlüssel öffentlich rekonstruierbar sind. Ein Angreifer, der den Clientverkehr abfangen oder umleiten kann, kann mit diesen Schlüsseln einen TLS-Server imitieren, sofern der Client dieses Bündel zur Zertifikatsprüfung verwendet.
Betroffen
- Mozilla-CA (Perl-Distribution) Versionen vor 20261020
- Perl-Clients wie LWP und HTTP::Tiny nur dann, wenn sie das Mozilla::CA-Bündel als CA-Speicher verwenden
- Andere Distributionen sowie Perl-Installationen unter Windows oder macOS: Unbekannt.
Behoben in
- Mozilla-CA 20261020 oder neuer
- RHEL: nicht betroffen, da das paketierte perl-Mozilla-CA den Systemspeicher verwendet
- Rocky Linux: korrigierte OS-CA-Bündel mit Datum vom 22. bis 26. Oktober 2026
- Debian: Unbekannt.
Umgehung
- Falls ein Patch noch nicht möglich ist, die betroffenen Roots nach einem Test aus dem Bündel entfernen
- Das alleinige Entfernen von emSign ECC Root CA - G3 reicht nicht aus, da Sectigo dieselben Schlüssel über AAA Certificate Services signiert
- Nicht automatisch aktualisierte Vertrauensspeicher müssen die kompromittierten Zwischenzertifizierungsstellen manuell sperren
Ausnutzung
- Bis 31. Oktober 2026 ist keine bestätigte Ausnutzung in freier Wildbahn bekannt
- Mehrere Forschende haben die privaten Schlüssel unabhängig voneinander rekonstruiert, einige haben dies öffentlich gemacht
- Kein öffentlicher Proof of Concept speziell für Mozilla::CA gefunden.
Unsere Empfehlung
- Prüfen, ob Anwendungen Perl Mozilla::CA oder das darin enthaltene Bündel verwenden
- Mozilla-CA auf 20261020 oder neuer aktualisieren oder die Updates des Betriebssystemherstellers installieren, sofern der Systemspeicher verwendet wird
- Für jeden Client den verwendeten CA-Speicher prüfen, einschliesslich Konfiguration und Umgebungsvariablen
- Proxys und Nicht-Browser-Clients prüfen, da diese Certificate Transparency häufig nicht erzwingen
- Auf Zertifikatsfehler und unerwartete Zertifikatsänderungen achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Bugzilla: eMudhra private key compromise of intermediate certificates bugzilla.mozilla.org
- eMudhra Intermediate CA Compromise emudhra.we-have-a-problem.com
- Mozilla-CA 20261020 changes metacpan.org
- oss-security advisory www.openwall.com
- Red Hat CVE record access.redhat.com
- Rocky Linux security advisory kb.ciq.com
- Vulners NVD record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.