Lỗ hổngNghiêm trọng

Lỗ hổng trong quá trình tạo khóa của eMudhra, 8 certificates bị khai thác

eMudhra, một nhà cung cấp dịch vụ tín dụng số và an ninh mạng, gặp sự cố với 8 certificates trung gian do vấn đề trong quá trình tạo khóa. Vấn đề này làm giảm entropy của khóa P-384, cho phép kẻ tấn công khôi phục khóa và phát hành chứng chỉ giả mạo. Các nhà cung cấp trình duyệt như Chrome, Mozilla, Apple và Microsoft đã chặn các certificates này.

QBQualys BlogBiên tập & Phân tích

lúc 09:03 Thứ Bảy, 24 tháng 10, 20260 lượt xem

Lỗ hổng trong quá trình tạo khóa của eMudhra, 8 certificates bị khai thác

Điểm chính

eMudhra gặp sự cố với 8 certificates trung gian do vấn đề trong quá trình tạo khóa.
Entropy của khóa P-384 bị giảm, cho phép kẻ tấn công khôi phục khóa.
Các nhà cung cấp trình duyệt đã chặn các certificates này.

Khuyến nghị

Kiểm tra và cập nhật certificates trong môi trường của bạn.
Kiểm tra các ứng dụng Go có thể bị ảnh hưởng.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Qualys Blog. Vui lòng đối chiếu bài gốc trước khi sử dụng.

🛡️ Thông tin lỗ hổng liên quan (2)

Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AI

CVE-2026-111943CVSS 6.8 · MEDIUMEPSS 0.40% · top 66%Chưa có trong KEVCWE-299

Tẩy chay chứng chỉ trung gian bị đánh cắp trong crypto/x509

Trên hầu hết các nền tảng, Go sử dụng các chứng chỉ gốc do hệ thống cung cấp. Tuy nhiên, trong một số trường hợp hẹp hơn, bộ lưu trữ tin cậy của hệ thống có thể không được cập nhật mà không có hành động bổ sung. Để bảo vệ chống lại tập hợp trường hợp hẹp hơn có thể vẫn bị ảnh hưởng, một danh sách cấm đã được thêm vào crypto/x509 để trả về lỗi khi gọi Verify với bất kỳ chứng chỉ trung gian đã biết nào mà không còn …

CNA cấp mã: Go · Loại lỗi: CWE-299: Improper Check for Certificate Revocation

Sản phẩm bị ảnh hưởng: Go standard library crypto/x509 (0 → < 1.26.10, 1.27.0-0 → < 1.27.3)

Tham chiếu:go.dev go.dev groups.google.com+1

Hồ sơ CVE NVD ↗CVE.org ↗Tin liên quan

CVE-2026-111944Chưa có CVSSChưa có trong KEV

Hồ sơ CVE NVD ↗CVE.org ↗Tin liên quan