Eight eMudhra CA Keys Compromised, Triggering Emergency Fixes Across Browsers and Software
The Hacker News · 20 oct, 19:09
Ocho certificados intermedios de la autoridad certificadora eMudhra han sido comprometidos, con sus claves privadas filtradas. Mozilla y Google bloquearon inmediatamente estos certificados el 20 de octubre tras recibir el aviso de un investigador el 17 de octubre. Los certificados afectados cubren TLS (validación de dominio, organización y extendida) y firma de código, lo que permitiría a un atacante emitir certificados fraudulentos para cualquier sitio web.
eMudhra es una autoridad certificadora india que vende certificados bajo la marca emSign a través de distribuidores en India, Estados Unidos y Países Bajos, con raíces confiadas en Mozilla, Chrome y Apple. Los ocho certificados intermedios comprometidos incluyen cuatro para TLS (dos de validación de dominio, dos de validación de organización y dos de validación extendida) y dos para firma de código, cada uno en versiones B y C.
Chrome bloqueó las seis intermedias de TLS mediante una actualización de CRLSet en 100 minutos, mientras que Mozilla completó la distribución del bloque OneCRL a Firefox en poco más de dos horas. Chrome bloqueó por clave pública para capturar también las copias firmadas cruzadamente por Sectigo. El investigador (acreditado como Wayne) verificó la comprensión del problema firmando cada una de las ocho claves privadas y enviando las firmas a los programas raíz.
Muchos programas que verifican certificados TLS, como los binarios de Go, Python certifi, Rust webpki-roots y Homebrew ca-certificates, ya han publicado actualizaciones para rechazar estas claves o eliminar la raíz eMudhra. Se desconoce cómo salieron las claves de eMudhra, cuándo sucedió o si alguien además del investigador las posee.
Puntos clave
- Ocho certificados intermedios de eMudhra comprometidos (TLS y firma de código)
- Chrome bloqueó en 100 minutos mediante CRLSet; Firefox en poco más de dos horas con OneCRL
- Go 1.27.3 y 1.26.10 (CVE-2026-111943) y Firefox 158.0.1 (CVE-2026-113470) ya liberados con correcciones
- NSS 3.131.1, Python certifi 2026.10.19, Rust webpki-roots 1.0.10 y Homebrew ca-certificates también actualizadas
- Node.js y Composer ca-bundle tienen cambios pendientes