Firefox: eMudhra-Zwischenzertifikate kompromittiert, via OneCRL blockiert, Root aus NSS entfernt

Zusammenfassung

Mozilla erhielt eine Meldung, dass die privaten Schlüssel von acht eMudhra-Zwischenzertifikaten kompromittiert wurden. Angreifer könnten damit gefälschte HTTPS-Zertifikate ausstellen. Mozilla hat die Zertifikate in Firefox über OneCRL blockiert und aktualisierte Firefox-Versionen veröffentlicht. Der NSS-Vertrauensspeicher entfernt zudem das Root-Zertifikat, das die Zwischenzertifikate signiert hat.

Symptome

Den Benutzern wird kein Fehler angezeigt. Das Risiko besteht darin, dass ein Angreifer, der eine Verbindung abfangen kann, mit gefälschten Zertifikaten Websites imitieren sowie Datenverkehr mitlesen oder verändern könnte. Nur eine Minderheit der Clients mit benutzerdefinierten Einstellungen hat die OneCRL-Blockierung möglicherweise nicht erhalten.

Betroffen

• Firefox-Benutzer, deren benutzerdefinierte Einstellungen das OneCRL-Update verhindert haben (Standardkonfigurationen waren am 2026-10-17 innerhalb von 3 Stunden geschützt)
• Firefox-für-Android-Clients, die Änderungen an der mitgelieferten OneCRL-Blockliste nicht unmittelbar nach dem Start anwendeten
• Andere Anwendungen, die den Vertrauensspeicher von Mozilla (NSS) oder davon abgeleitete Versionen nutzen und keine OneCRL-Updates erhalten

Workaround

Keine Umgehung bekannt.

Lösung

Behoben: Die OneCRL-Blockierung wurde am 2026-10-17 für Standardkonfigurationen verteilt. Firefox 158.0.1 (Desktop und Android), Firefox ESR 115.43.1 und Firefox ESR 153.5.1 liefern den Schutz für Clients mit benutzerdefinierten Einstellungen. Firefox für Android 158.0.2 (2026-10-21) behebt die verzögerte Anwendung der mitgelieferten OneCRL-Blockliste nach dem Start. NSS 3.131.1 entfernt das Root-Zertifikat, das die betroffenen Zwischenzertifikate signiert hat.

Empfehlung

Firefox auf 158.0.1 oder neuer aktualisieren (Android: 158.0.2) bzw. ESR auf 115.43.1 oder 153.5.1. Prüfen Sie, ob verwaltete Firefox-Profile OneCRL oder Updates zur Zertifikatsperrung deaktivieren. Bei anderer Software auf Basis des Mozilla-/NSS-Vertrauensspeichers beim Hersteller klären, ob NSS 3.131.1 bzw. die Root-Entfernung enthalten ist.

Quellen

• Protecting Firefox users following the compromise of eMudhra intermediate certificates Hersteller · blog.mozilla.org

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:38.