文档中心

云服务器

请输入

修复说明

Emudhra中间CA证书私钥泄露问题修复说明

问题描述

eMudhra运营的emSign CA体系中，部分TLS与代码签名中间CA证书存在密钥复杂度缺陷。攻击者在特定条件下可能通过公开信息恢复相关中间CA私钥，并利用直接或间接信任缺陷证书的客户端发起中间人攻击。

如果云服务器（ECS）实例或业务运行环境仍信任相关缺陷证书，客户端发出的TLS加密请求可能被恶意中间网络链路劫持或篡改，存在敏感信息泄漏、软件源投毒、下载内容被替换等风险。了解更多

问题原因

操作系统和部分应用会通过证书信任库判断服务器证书链是否可信。若信任库中仍包含可被相关缺陷中间CA链接利用的根证书或中间证书，客户端可能无法正确拒绝伪造证书链。

在公开信任体系中，根证书、交叉签名证书和中间CA证书可能共同影响客户端校验结果。仅修复业务服务端证书通常不足以消除客户端风险，您需要更新或调整客户端所在环境的证书信任库。

快速自测

您可以在目标实例中访问官方测试站点，检查当前客户端是否仍信任相关证书链。

Linux操作系统

Windows操作系统

若回显信息包含 curl: (60) SSL certificate problem: unable to get local issuer certificate，表示客户端已不再信任相关证书链，实例不受该问题影响，无需进一步处理。

若回显信息包含 Your client successfully connected to the site. That's bad!，表示客户端仍信任相关证书链，实例受该问题影响，请根据解决方案指引进行修复。

修复方案

支持的操作系统

火山引擎官方为如下发行版的镜像提供了修复版本，您可以通过软件源更新ca-certificates修复问题。

发行版	小版本	修复版本
Debian	12	20250419~deb12u2
Debian		13	20250419+deb13u1
Ubuntu	22.04	20260816ubuntu0.22.04.1
		24.04	20260816ubuntu0.24.04.1
		26.04	20260816ubuntu0.26.04.1
Almalinux	8	2026.2.92_v9.0.319-81.3.el8_10
		9	2026.2.92_v9.0.319-90.3.el9_8
		10	2026.2.92_v9.0.319-100.3.el10_2
RockLinux	8	2026.2.92_v9.0.319-81.3.el8_10
		9	2026.2.92_v9.0.319-90.3.el9_8
		10	2026.2.92_v9.0.319-100.3.el10_2
RHEL	8	2026.2.92_v9.0.319-81.3.el8_10
RHEL		9	2026.2.92_v9.0.319-90.3.el9_8
veLinux	2	20250419~deb12u2
SUSE	15	2.92-150200.50.2
OpenSUSE	16	2.92-160000.1.1
CentOS	Stream 9	2026.2.92_v9.0.319-91.3.el9

操作步骤

登录目标实例。

使用管理员权限执行如下命令，更新ca-certificates修复问题。

Debian/Ubuntu/veLinux 1.0/veLinux 2.0

sudo apt-get update
sudo apt-get install --only-upgrade ca-certificates
sudo update-ca-certificates
dpkg-query -W ca-certificates

RHEL/Rocky/AlmaLinux/CentOS/Fedora/veLinux 1.0 CentOS Compatible/veLinux 2.0 CentOS Compatible

使用DNF包管理器

sudo dnf upgrade --refresh ca-certificates
sudo update-ca-trust extract
rpm -q ca-certificates

使用YUM包管理器

sudo yum update ca-certificates
sudo update-ca-trust extract
rpm -q ca-certificates

SUSE/openSUSE

sudo zypper refresh
sudo zypper update ca-certificates ca-certificates-mozilla
sudo update-ca-certificates
rpm -q ca-certificates ca-certificates-mozilla

Windows Server

New-Item -ItemType Directory -Path C:\CAUpdate -Force | Out-Null

# 从微软下载当前证书信任数据
certutil -f -syncWithWU C:\CAUpdate
if ($LASTEXITCODE -ne 0) {
throw "同步失败，请检查微软证书更新服务的网络连通性"
}

# 将微软公布的不信任证书集合导入本机 Disallowed 库
certutil -f -addstore Disallowed C:\CAUpdate\disallowedcert.sst
if ($LASTEXITCODE -ne 0) {
throw "导入不信任证书失败"
}

临时缓解措施

注意

临时缓解方案仅能阻断漏洞利用路径，无法彻底修复漏洞，建议后续通过更新证书完成永久修复。

登录目标实例。

使用管理员权限执行如下命令，临时规避证书问题。

Debian/Ubuntu/veLinux 1.0/veLinux 2.0

cp -p /etc/ca-certificates.conf \
"/etc/ca-certificates.conf.before-emsign-$(date +%Y%m%d%H%M%S)"

sed -i \
-e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt$|!&|' \
-e 's|^mozilla/Comodo_AAA_Services_root.crt$|!&|' \
/etc/ca-certificates.conf

update-ca-certificates --fresh

RHEL/Rocky/AlmaLinux/CentOS/Fedora/veLinux 1.0 CentOS Compatible/veLinux 2.0 CentOS Compatible

#!/bin/bash
d=/etc/pki/ca-trust/source/blocklist
[[ -d "$d" ]] || d=/etc/pki/ca-trust/source/blacklist
[[ -d "$d" ]] || { echo '未找到证书禁用目录' >&2; exit 1; }
t=$(mktemp -d)
trap 'rm -rf -- "$t"' EXIT

trust extract --format=pem-bundle \
--filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' "$t/emsign"
trust extract --format=pem-bundle \
--filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' "$t/aaa"

openssl x509 -in "$t/emsign" -out "$t/emsign.pem"
openssl x509 -in "$t/aaa" -out "$t/aaa.pem"

install -m 0644 "$t/emsign.pem" "$d/ecs-emsign-ecc-g3.pem"
install -m 0644 "$t/aaa.pem" "$d/ecs-aaa-services.pem"
update-ca-trust extract

SUSE/openSUSE

#!/bin/bash
set -euo pipefail
d=/etc/pki/trust/blocklist
[[ -d "$d" ]] || d=/etc/pki/trust/blacklist
[[ -d "$d" ]] || { echo '未找到证书禁用目录' >&2; exit 1; }
t=$(mktemp -d)
trap 'rm -rf -- "$t"' EXIT

trust extract --format=pem-bundle \
--filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' "$t/emsign"
trust extract --format=pem-bundle \
--filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' "$t/aaa"

openssl x509 -in "$t/emsign" -out "$t/emsign.pem"
openssl x509 -in "$t/aaa" -out "$t/aaa.pem"

install -m 0644 "$t/emsign.pem" "$d/ecs-emsign-ecc-g3.pem"
install -m 0644 "$t/aaa.pem" "$d/ecs-aaa-services.pem"
update-ca-certificates

最近更新时间：2026.10.27 17:48:25

这个页面对您有帮助吗？

有用

无用