Microsoft lanzó actualizaciones de emergencia para Windows tras descubrir que ocho claves privadas de autoridades de certificación intermedias de eMudhra fueron comprometidas. Esta vulnerabilidad podría permitir que atacantes suplanten certificados confiables o firmen contenido malicioso. Microsoft aclaró que el problema radica en la jerarquía de certificados de eMudhra y no en sus propios sistemas, por lo que implementó una actualización el 26 de octubre para eliminar siete de estos certificados de la lista de confianza de Windows.

Microsoft lanzó actualizaciones de confianza de emergencia para Windows tras descubrir ocho claves privadas de CA intermedias de eMudhra recuperables que podrían permitir a los atacantes falsificar certificados confiables o firmar contenido malicioso.

Microsoft afirmó que el problema afectó a la jerarquía de certificados de eMudhra, no a los sistemas de Microsoft. La respuesta incluye una actualización de Windows fuera de banda del 26 de octubre que elimina siete certificados de la lista de confianza de Windows.

Microsoft confirmó el 27 de octubre que había eliminado los mismos certificados de la lista de confianza de Microsoft Edge, extendiendo su respuesta más allá de los bloqueos previos contra los intermediarios comprometidos.

Seis de las claves afectadas están relacionadas con Transport Layer Security, o TLS, que ayuda a proteger las conexiones a sitios web y servicios. Las otras dos se relacionan con la firma de código, que ayuda a los sistemas a verificar quién publicó el software. Recuperar estas claves podría permitir que los atacantes hagan un mal uso de la confianza asociada a sus autoridades de certificación.

Un atacante que utilice una clave TLS comprometida podría crear un certificado para suplantar un sitio web o servicio y, potencialmente, interceptar comunicaciones. Las claves de firma de código podrían hacer que el software malicioso parezca provenir de un editor confiable. Estos son usos potenciales de las claves, no una prueba de que tales ataques hayan ocurrido.

Actualizaciones de Microsoft para bloquear certificados de eMudhra

Cyber Security News cubrió previamente el compromiso de la autoridad de certificación eMudhra y los bloqueos introducidos en las principales plataformas. Sus informes sobre el abuso de la firma de artefactos de Microsoft también muestran por qué una firma de software confiable no garantiza que un archivo sea seguro.

Microsoft actualizó primero la Lista de Confianza de Certificados no permitidos de Windows el 20 de octubre para bloquear las autoridades de certificación afectadas. También implementó una actualización de CRLSet independiente para Edge y WebView2 para bloquear los certificados TLS afectados. Esta protección del navegador llega automáticamente a través de actualizaciones de componentes sin requerir una nueva versión del navegador.

La actualización posterior de Windows elimina seis certificados raíz de eMudhra G3 y una firma cruzada de AAA Certificate Services. La eliminación de estos siete certificados es una decisión de confianza más amplia, independiente del bloqueo de las ocho claves intermedias comprometidas y de la revocación de los certificados intermediarios afectados por parte de eMudhra.

Microsoft advirtió contra la restauración de la confianza localmente sin evaluar los riesgos. El software que no verifique de manera confiable la revocación de certificados o la lista de no permitidos de Microsoft aún podría aceptar certificados vinculados a los intermediarios comprometidos si se mantiene o restaura la confianza eliminada.

Debes permitir que las actualizaciones de confianza de certificados de Windows y las actualizaciones de componentes de Edge lleguen a los dispositivos gestionados. Los sistemas Windows desconectados necesitan atención especial porque tú, como administrador, debes proporcionar una forma alternativa de actualizar.

La guía de confianza de certificados de Microsoft explica cómo distribuir las listas de certificados confiables y no permitidos a través de la infraestructura interna.

Microsoft también instó a los clientes a revisar las máquinas virtuales de Azure desconectadas y los Conjuntos de escalado de máquinas virtuales. Las imágenes actualizadas están disponibles a través de Azure Marketplace.

Los propietarios de certificados deben identificar las cadenas que dependen de los siete certificados eliminados y obtener reemplazos o una cadena de confianza alternativa.

Microsoft está evaluando las raíces restantes de eMudhra por separado a medida que los clientes se alejan de las jerarquías afectadas. Puedes monitorear los anuncios del Programa de Raíz Confiable de Microsoft para conocer los cambios publicados y verificar que las actualizaciones de certificados lleguen a cada sistema gestionado.