Microsoft пусна извънредни (out-of-band / OOB) обновления за Windows за оттегляне на доверието към сертификати, свързани с компрометирани ключове на удостоверителния орган eMudhra, предпазвайки системи, които не получават автоматични актуализации на списъците за доверие.

Обновлението KB5134133 за Windows 11 (версии 24H2, 25H2 и 26H2) и обновлението KB5134125 за Windows 10 (версии 21H2 и 22H2) бяха публикувани на 26 октомври.

Тези обновления са предназначени за системи без интернет достъп, устройства, които нямат връзка с услугата за обновяване на сертификати на Microsoft, както и за такива с изключени автоматични обновления на списъка с надеждни сертификати (Certificate Trust List — CTL).

Корекциите бяха издадени след откриването на осем частни ключа на междинни удостоверителни органи на eMudhra, които са били толкова слаби, че е било възможно да бъдат възстановени почти незабавно.

Всички осем ключа са били генерирани през април 2025 г. и са имали стойности, по-малки от 256, което позволява на всеки да ги разкрие чрез тестване на едва 256 възможни числа.

Компрометираните ключове биха могли да позволят на атакуващи да фалшифицират сертификати за легитимни уебсайтове и да прихващат криптирани комуникации.

След разкриването eMudhra оттегли осемте компрометирани междинни сертификата, а Mozilla, Google, Apple и други софтуерни разработчици също започнаха процес по тяхното анулиране.

В отговор Microsoft първоначално обнови списъка с недопустими сертификати на Windows (Disallowed Certificate Trust List), за да блокира осемте засегнати междинни удостоверителни органа, включително шест, използвани за TLS, и два за подписване на код.

Компанията предостави и CRLSet обновяване за Microsoft Edge и WebView2 за блокиране на засегнатите TLS сертификати, което осигури защитата без необходимост от цялостно обновяване на браузъра.

Сега Microsoft предприема допълнителни мерки, като премахва седем сертификата, свързани със засегнатите йерархии, от своя списък с доверени сертификати в Windows.

„На 26 октомври Microsoft пусна извънредно обновление за Windows, което премахва седем сертификата, свързани със засегнатите йерархии: шест коренови сертификата на eMudhra G3 и кръстосано подписан сертификат на AAA Certificate Services от списъка с доверени сертификати на Windows“, поясниха от Microsoft.

Новото обновяване отива още по-далеч, като оттегля доверието и към кореновите сертификати на eMudhra, използвани за верификация на други сертификати, издадени от органа.

От Microsoft посочват, че същите седем сертификата ще бъдат премахнати и от списъка с доверени сертификати на Edge на 27 октомври.

„Премахването на коренов сертификат от списък с доверени сертификати не е същото като анулирането на компрометираните междинни удостоверителни органи“, обясняват от Microsoft.

„Това е отделно решение за доверие, по-широкообхватно от блокирането на установените компрометирани междинни ключове. Организации със специфични изисквания за съвместимост могат да изберат да гласуват доверие на даден сертификат локално, съобразно собствената си оценка на сигурността и вътрешните си политики.“

Компанията съветва системните администратори да инсталират обновлението на изолираните от мрежата Windows системи и да идентифицират всички сертификати, които зависят от премахнатите коренови сертификати, тъй като може да се наложи те да бъдат подменени.

Microsoft също така разследва останалите коренови сертификати на eMudhra и при необходимост може да въведе допълнителни промени по отношение на доверието към тях.