AWS предупредила о восстановимых ключах промежуточных сертификатов eMudhra
AWS 24 октября опубликовала бюллетень о CVE-2026-111943 — проблеме в цепочках доверия, связанных с удостоверяющим центром eMudhra и брендом emSign. По данным Amazon, восемь промежуточных закрытых ключей, шесть для TLS и два для подписи кода, были созданы с настолько слабой случайностью, что их можно было математически восстановить по открытым ключам. Обновление AWS относится к доверию к этим сертификатам, а не к уязвимости в коде AWS.
Владение промежуточным ключом позволяет выпускать сертификаты для произвольных имён и создавать риск подмены сервисов для клиентов, которые продолжают доверять соответствующей цепочке. Google сообщил, что 17 октября заблокировал публичные ключи шести TLS-посредников в Chrome и Android. По данным Google, в журналах Certificate Transparency не обнаружено TLS-сертификатов, выпущенных через эти центры, до блокировки. Это подтверждает отсутствие найденного злоупотребления, но не отменяет необходимость обновить доверенные хранилища.
eMudhra заявила, что отозвала все восемь промежуточных сертификатов 18 октября, а её индийские сервисы цифровой подписи и eSign работают на изолированной инфраструктуре. Компания также указала, что затронутый промежуточный центр, находившийся в производственной среде, не выпустил ни одного конечного сертификата.
AWS уже обновила общие хранилища доверия и выпустила исправление для botocore версии 1.43.117. Обновления также нужны Amazon Linux, Corretto и Bottlerocket. CloudFront и Application Load Balancer ещё разворачивают изменения: владельцам сертификатов на затронутых корнях рекомендуют заменить их до начала отключения доверия. В AWS отдельно отмечают, что клиенты с проверкой отзыва в режиме fail-closed не затронуты.