introducir
La clave privada de la Autoridad de Certificación (CA) de eMudhra ha sido probado Se filtró el 20 de octubre de 2026. El equipo de seguridad de Ubuntu lanzó una actualización para el almacén de CA raíz PKI (Infraestructura de clave pública) del sistema en el paquete ca-certificates.
Aunque no se confía directamente en eMudhra CA como raíz en Ubuntu, la CA eMudhra ha sido firmada de forma cruzada por otras dos CA raíz: emSign raíz TLS CA – G3 y Servicio de vales AAA de Comodo. Estas dos raíces se han eliminado del almacén raíz de confianza de Ubuntu en la suite ca-certificates para garantizar que ya no se confíe en la CA eMudhra comprometida. Ya no se confía en ninguna credencial legítima en la que una de estas dos CA raíz termine siendo confiable. Esto es poco probable, pero podría provocar que algunos hosts sean inaccesibles debido al uso de credenciales revocadas. La CA del Servicio de Credenciales AAA se eliminó previamente de la suite CA en Ubuntu 22.04 (Jammy Jellyfish) y versiones posteriores.
¿Qué versiones de Ubuntu se ven afectadas?
Cómo comprobar si estás afectado
Puede verificar la versión de la suite ca-certificates usando el siguiente comando:
dpkg -l 'ca-certificates' | grep ^iiImpacto del compromiso de CA
Terceros no autorizados podrán firmar certificados X.509 fraudulentos; estos serán verificados por una implementación TLS (generalmente un cliente TLS) que confíe en eMudhra CA. Las mitigaciones como la fijación de claves públicas o los registros de la Autoridad de certificación DNS (CAA) detectan dichos certificados fraudulentos, pero dependen de aplicaciones TLS para explotar estas mitigaciones y no se utilizan ampliamente.
Esto podría llevar a la suplantación de la identidad del punto final TLS y podría permitir que un atacante intermedio intercepte y comprometa la confidencialidad e integridad de la conexión TLS, independientemente de la CA utilizada por el punto final TLS real, a menos que se tomen medidas de mitigación.
Cómo aplicar la solución
Le recomendamos que actualice todos los paquetes:
sudo apt update && sudo apt upgradeSi esto no es posible, puede centrarse en los componentes afectados:
sudo apt update && sudo apt install --only-upgrade ca-certificatesLa función de actualización desatendida está habilitada de forma predeterminada en Ubuntu 16.04 LTS y superiores. Esta función:
- Se aplican nuevas actualizaciones de seguridad automáticamente cada 24 horas.
- Si esta función está habilitada, los parches anteriores se aplicarán automáticamente dentro de las 24 horas posteriores a su disponibilidad.
Ubuntu 26.10, 26.04 LTS, 24.04 LTS y 22.04 LTS reciben estas correcciones como parte del soporte estándar. Si está utilizando Ubuntu 20.04 LTS o una versión anterior, puede aplicar esta solución a través de una suscripción a Ubuntu Pro a través del servicio de mantenimiento de seguridad extendido (ESM). Ubuntu Pro es gratuito para hasta 5 máquinas o hasta 50 máquinas para miembros de la comunidad. Ubuntu Pro también brinda acceso a Landscape, lo que le permite controlar la implementación de correcciones de seguridad en todo su patrimonio. aprender más.
Notas para usuarios de escritorio de Ubuntu
En el escritorio de Ubuntu, el cliente TLS más común es el navegador. Por lo general, se instalan en el escritorio de Ubuntu como un paquete instantáneo y no utilizan el almacén de confianza del sistema proporcionado por el paquete ca-certificates. Los paquetes Snap se actualizan cuatro veces al día de forma predeterminada. Si ha desactivado las actualizaciones automáticas, asegúrese de actualizar la instantánea manualmente.
