Microsoft отзывает доверие к сертификатам eMudhra через внеполосные обновления Windows

Microsoft выпустила внеполосные обновления Windows для отзыва доверия к сертификатам, связанным с скомпрометированными ключами удостоверяющего центра eMudhra. Обновления защищают системы, которые не получают автоматическое обновление доверия к сертификатам.

Обновления KB5134133 и KB5134125 блокируют скомпрометированные сертификаты

Обновление KB5134133 предназначено для Windows 11 версий 24H2, 25H2 и 26H2. Обновление KB5134125 выпущено для Windows 10 версий 21H2 и 22H2. Эти обновления предназначены для систем без доступа к интернету, устройств, не имеющих доступа к службе обновления сертификатов Microsoft, а также для тех, где отключено автоматическое обновление списка доверенных сертификатов (CTL). Microsoft отзывает доверие к семи сертификатам, связанным с затронутыми иерархиями: шести корневым сертификатам eMudhra G3 и одному перекрестному сертификату AAA Certificate Services. Эти сертификаты будут удалены из списка доверия Windows. Microsoft также удалит эти семь сертификатов из списка доверия Edge 27 октября.

Уязвимость возникла из-за слабых ключей eMudhra

Обновления выпущены после обнаружения восьми промежуточных ключей удостоверяющего центра eMudhra. Эти ключи оказались настолько слабыми, что могли быть восстановлены почти мгновенно. Все восемь ключей были сгенерированы в апреле 2025 года и имели длину менее 256 бит. Это позволило злоумышленникам восстановить их, протестировав всего 256 возможных значений. Скомпрометированные ключи могли позволить злоумышленникам подделывать сертификаты для легитимных веб-сайтов и перехватывать зашифрованные коммуникации. После раскрытия информации eMudhra отозвала восемь скомпрометированных промежуточных сертификатов. Mozilla, Google, Apple и другие поставщики программного обеспечения также начали их отзыв. Ранее Microsoft обновила список запрещенных сертификатов Windows (Disallowed Certificate Trust List), чтобы заблокировать восемь затронутых промежуточных удостоверяющих центров, включая шесть для TLS и два для подписи кода. Компания также выпустила обновление CRLSet для Microsoft Edge и WebView2 для блокировки затронутых TLS-сертификатов.

Установите внеполосное обновление на отключенные системы

Администраторам рекомендуется установить внеполосное обновление на отключенные системы Windows. Необходимо выявить сертификаты, зависящие от отозванных корневых сертификатов, поскольку их, возможно, потребуется заменить. Отзыв корневого сертификата из списка доверия отличается от отзыва промежуточных удостоверяющих центров. Это отдельное решение о доверии, более широкое, чем блокировка выявленных скомпрометированных промежуточных ключей. Организации с особыми потребностями совместимости могут локально доверять сертификату, основываясь на собственной оценке безопасности и политиках. Microsoft расследует оставшиеся корневые сертификаты eMudhra и может внести дополнительные изменения в доверие по мере необходимости.