eMudhra: Kompromittierte Zertifizierungsstellen – Node.js und andere Software aktualisieren
Die privaten Schlüssel von acht Zwischenzertifikaten der Zertifizierungsstelle eMudhra liessen sich trivial erraten – damit konnten gültige TLS-Zertifikate für beliebige Websites gefälscht werden. Browser blockieren sie bereits, viele Server und Anwendungen wie Node.js erst nach einem Update.
Was ist passiert?
Bei der indischen Zertifizierungsstelle eMudhra erzeugte ein fehlerhaftes Skript seit April 2025 Schlüssel für acht Zwischenzertifikate, die nur 256 mögliche Werte hatten. Wer einen solchen Schlüssel errät, kann TLS-Zertifikate für beliebige Domains ausstellen, denen Software vertraut – und so verschlüsselten Datenverkehr unbemerkt mitlesen oder manipulieren (Man-in-the-Middle).
Die Schwäche wurde am 17. Oktober entdeckt. Mozilla, Google Chrome und Apple haben die Zertifikate inzwischen gesperrt, eMudhra hat sie widerrufen. Laut eMudhra gibt es bisher keine Hinweise auf Missbrauch.
Das Problem: Software mit eigenem Zertifikatsspeicher vertraut den Zertifikaten weiterhin, bis sie aktualisiert wird. Node.js hat am 21. Oktober reagiert und lehnt in den neuen Versionen Zertifikatsketten mit den betroffenen Schlüsseln ab (zusätzlich aktualisierte Root-Zertifikate auf NSS 3.131.1). Dasselbe Update schliesst zehn weitere Lücken in Node.js, darunter eine Codeausführung über den Brotli-Decoder (CVE-2026-111497) und mehrere Umgehungen der TLS-Hostnamen-Prüfung.
Wen betrifft es?
- Node.js-Anwendungen: APIs, Backends, Build-Pipelines, Automatisierungen und Electron-Apps.
- Software mit eigenem Zertifikatsspeicher: Python (certifi), Go, Java, curl sowie Container-Images mit veralteten CA-Zertifikaten.
- Nicht mehr unterstützte Versionen: Node.js 20 und älter erhalten keine Sicherheitsupdates mehr.
Was ist zu tun?
- Node.js aktualisieren: Aktualisiere auf 22.23.4, 24.22.1 oder 26.12.1 und starte laufende Prozesse neu, sonst nutzen sie weiterhin die alte Version. Ältere Versionen migrierst du auf Node.js 22 oder 24.
- Weitere Software aktualisieren: Aktualisiere das Paket
ca-certificatesdes Betriebssystems, Python certifi, Go und Electron-Apps und baue Container-Images neu. - Eigene Zertifikatskonfiguration prüfen: Betreibst du Node.js mit
--use-system-caoder eigenen CA-Bundles, stelle sicher, dass die eMudhra-Zwischenzertifikate dort nicht mehr als vertrauenswürdig gelten. - Testen: Prüfe im Zweifel mit den Testseiten unter emudhra.we-have-a-problem.com, ob ein System den gesperrten Zertifikaten noch vertraut.
Dieses Advisory dient der Information. Für Unterstützung bei der Prüfung deiner Anwendungen und Zertifikatsketten kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen