Microsoft ha pubblicato aggiornamenti out-of-band per Windows 11 e Windows 10 finalizzati a rimuovere certificati TLS di eMudhra collegati a chiavi private compromesse. Questi aggiornamenti non sono distribuiti tramite Windows Update, ma possono essere scaricati dal Microsoft Update Catalog, con la necessità di verificare la versione del sistema operativo e l’architettura del processore (x64 o arm64).
Approfondisci: Windows 11 più scattante anche con 8GB di RAM: Microsoft promette fino al 20% di reattività in più
Gli aggiornamenti KB5134133 (Windows 11 26H2/25H2/24H2), KB5134130 (Windows 11 23H2) e KB5134125 (Windows 10 22H2/21H2) bloccano i certificati TLS interessati anche nella trust list di Microsoft Edge mediante un CRLSet separato, installato automaticamente senza richiedere una nuova versione del browser.
Un ricercatore di sicurezza ha individuato otto chiavi private deboli (4, 56, 66, 115, 155, 156, 230 e 237) usate da eMudhra per generare certificati. Un certificato creato con una di queste chiavi sarebbe considerato legittimo da browser e sistemi operativi, consentendo la impersonazione di siti web o la finta provenienza di software infetto tramite le due chiavi destinate alla firma del codice.
Il blocco delle autorità di certificazione coinvolte impedisce che i certificati generati con queste chiavi siano considerati attendibili. Microsoft ha aggiornato tempestivamente la Windows Disallowed Certificate Trust List e ha distribuito un aggiornamento CRLSet per Edge e WebView2 per bloccare i certificati TLS interessati.
In ambienti aziendali con dispositivi non collegati a Internet o con gli aggiornamenti automatici della CTL disattivati, i certificati non vengono revocati automaticamente. Per garantire la sicurezza anche in tali contesti, Microsoft ha rilasciato queste patch di emergenza, chiamate out-of-band, che rimuovono i certificati di eMudhra dalla Windows Trust List.
