Broadcom, eMudhra Sertifika Yetkililerindeki Anahtar İhlali Nedeniyle Cihazlar İçin Acil Güncelleme Yayımladı

Broadcom, eMudhra tarafından işletilen bazı ara sertifika yetkililerine (Intermediate CA) ait özel anahtarların ele geçirildiğinin doğrulanmasının ardından, belirli güvenlik ürünlerini kullanan yöneticilere Trust Package güncellemesini hemen yüklemeleri çağrısında bulundu. Güncelleme yapılana kadar cihazlar, etkilenen sertifika zincirlerine güvenmeye devam edebilir.

Duyuru; Integrated Secure Gateway (ISG), Content Analysis (CAS), Management Center (MC), Reporter, HSM Agent (HSMA) ve SSL Visibility (SSLV) ürünlerini kapsıyor. Mozilla, Google ve Microsoft tarayıcılarının güven depoları söz konusu ara sertifikalara güveni kaldırmış olsa da Broadcom cihazları kendi Trust Package ve CA Certificate Lists (CCL) yapılandırmalarını kullanıyor.

Hangi sertifikalar etkilendi?

Açıklamada, eMudhra’ya ait şu ara sertifika yetkilileri listeleniyor:

• EM DV TLS CA – G3B ve G3C
• EM OV TLS CA – G3B ve G3C
• EM EV TLS CA – G3B ve G3C

Bu sertifikaları içeren zincirler, emSign Root TLS CA – G3 ve AAA Certificate Services kök sertifikalarına kadar uzanabiliyor. Broadcom’un yayımladığı güncel Trust Package, söz konusu kök sertifikaları kaldırıyor.

Güncelleme yapılmazsa ne olabilir?

Etkilenen bir sertifika zincirini kullanan ve ağ trafiğini yönlendirme ya da araya girme imkanı bulunan bir saldırgan, cihazların bağlandığı uzak bir sunucuyu taklit edebilir. Bu durum özellikle TLS üzerinden Syslog ve SMTP bağlantılarında risk oluşturabilir; sahte bir sunucuya gönderilen olay kayıtları veya bildirim içerikleri açığa çıkabilir ya da değiştirilebilir.

Broadcom’a göre sistem imajı ve güven paketi indirmeleri ayrıca dijital imza kontrolleriyle korunuyor. Bu nedenle yalnızca indirme sunucusunun taklit edilmesi, zararlı yazılımın veya değiştirilmiş güven verisinin yüklenmesine tek başına yol açmamalı.

Güncelleme nasıl yapılır?

Broadcom, otomatik güncellemeyi beklemeden Trust Package’in elle güncellenmesini öneriyor. Otomatik güncelleme haftada bir kontrol yaptığından, yeni paketin cihaza ulaşması yedi güne kadar gecikebilir.

ISG, CAS, MC, HSMA ve Reporter cihazlarında şu komutlar kullanılabilir:

enable
configure terminal
ssl trust-package download-now force

SSLV cihazlarında güncelleme web arayüzünden yapılmalı:

1. Manage Appliance yetkisine sahip bir kullanıcıyla SSLV web arayüzünde oturum açın.
2. PKI > External Certificate Authorities bölümüne gidin.
3. Trust Package Update Status alanındaki adresin https://appliance.bluecoat.com/sgos/trust_package.bctp olduğunu doğrulayın. Adres değiştirilmişse Edit > Defaults > OK seçeneklerini kullanın.
4. Update Trust Package düğmesine basın.
5. Güncelleme sonrasında durumun güncel tarih ve saati gösterdiğini ve etkilenen kök sertifikaların güvenilen dış sertifika yetkilileri listesinden kaldırıldığını kontrol edin.

ISG, CAS, MC, HSMA ve Reporter cihazlarında güncelleme sonrasında emSign_ECC_Root_CA_-_G3 ile Comodo_AAA_Services sertifikalarının kaldırıldığını şu komutlarla doğrulamak mümkün:

ssl
view ca-certificate emSign_ECC_Root_CA_-_G3
view ca-certificate Comodo_AAA_Services

Sertifikalar kaldırılmışsa cihaz, ilgili komutlarda sertifikanın bulunmadığını bildirmelidir. Broadcom, güncellemenin başarılı olduğunu doğrulamak için cihazın Trust Package durumunun ve sertifika listesinin ayrıca kontrol edilmesini öneriyor.