CA-certificates: отзыв доверия к промежуточным CA-сертификатам eMudhra (CVE-2026-114406)
В пакетах ca-certificates для продуктов Red Hat обнаружены корневые сертификаты удостоверяющих центров, подписавших промежуточные CA-сертификаты eMudhra со слабыми приватными ключами. Уязвимость позволяет атакующему «человек посередине» выпускать доверенные сертификаты для произвольных доменов. Оценка CVSS — 6.8 (MEDIUM).
Подробности
Хранилище корневых сертификатов системы (CA store), поставляемое в составе RPM-пакетов ca-certificates, включало несколько корневых CA-сертификатов удостоверяющих центров, которые подписали промежуточные CA-сертификаты eMudhra со слабыми приватными ключами. Атакующий, действующий по схеме «человек посередине» (man-in-the-middle), мог воспользоваться этим недостатком для выпуска сертификатов на произвольные имена хостов, подписанных слабыми промежуточными CA-сертификатами. Для TLS/SSL-клиентов, использующих системное хранилище CA, такие сертификаты считались бы доверенными, что позволяло перенаправлять соединения на вредоносные сайты. Поскольку технически невозможно отозвать доверие только к конкретным промежуточным сертификатам во всех клиентах, использующих системное хранилище, из него удаляются корневые CA-сертификаты удостоверяющих центров, подписавших слабые промежуточные сертификаты. Под действие уязвимости попадает широкий перечень продуктов Red Hat, в том числе Red Hat Hardened Images, Red Hat Assisted Installer for Red Hat OpenShift Container Platform 2, Red Hat cert-manager Operator for Red Hat OpenShift, Red Hat Confidential Compute Attestation, Red Hat Kernel Module Management Operator for Red Hat Openshift, Red Hat Kube Descheduler Operator, Red Hat Logging Subsystem for Red Hat OpenShift, Red Hat Logical Volume Manager Storage, Red Hat Migration Toolkit for Applications 8, Red Hat Migration Toolkit for Containers, Red Hat Migration Toolkit for Virtualization, Red Hat Multicluster Engine for Kubernetes, Red Hat Network Observability Operator, Red Hat OpenShift Serverless и Red Hat OpenShift Service Mesh 3.Что делать
Рекомендуется обновить пакеты ca-certificates до версий, в которых соответствующие корневые сертификаты исключены из системного хранилища, и проследить за актуальными рекомендациями вендора для затронутых продуктов. После обновления следует перезапустить службы и приложения, использующие системное хранилище CA, чтобы они перечитали его содержимое. Организациям, применяющим собственные хранилища доверенных сертификатов или pinning, стоит проверить, не полагаются ли их конфигурации на затронутые цепочки, и при необходимости скорректировать списки доверия. В качестве дополнительной меры защиты целесообразно усилить мониторинг подозрительных TLS-соединений и контроль изменений сертификатов. Итог: CVE-2026-114406 затрагивает доверие к цепочке сертификатов eMudhra и создаёт риск перехвата TLS-трафика. Своевременное обновление ca-certificates и проверка конфигураций доверия снижают вероятность эксплуатации уязвимости.Источник: CVE Project (cvelistV5)