Mozilla thu hồi khóa ký Firefox sau khi bản sao không mã hóa bị đưa lên GitHub
"Mozilla revoked and replaced a GPG private subkey used to sign Firefox and Thunderbird Linux tarballs, RPM packages, and checksum files after an unencrypted copy was accidentally committed to a private GitHub repository. Audit logs found no evidence of unauthorized access, but users who manually verify signatures or rely on Mozilla's RPM repository may need to import the new key and revocation to continue validating releases."
Rủi ro chính là khóa ký phần mềm bị lộ có thể ảnh hưởng đến xác minh tính toàn vẹn của bản phát hành. Mozilla cho biết chưa thấy dấu hiệu truy cập trái phép, nhưng người dùng và hệ thống kiểm tra chữ ký cần cập nhật khóa mới và revocation.
Tác động vận hành chủ yếu nằm ở quy trình cập nhật khóa và xác minh gói trên một số hệ thống Linux. Các môi trường dùng RPM repository hoặc kiểm tra chữ ký thủ công có thể cần thao tác bổ sung để tránh gián đoạn cập nhật.
Mozilla đã thu hồi và thay thế một GPG private subkey dùng để ký các bản phát hành Firefox và Thunderbird sau khi phát hiện một bản sao không mã hóa của khóa này bị vô tình commit vào một GitHub repository riêng tư. Khóa bị ảnh hưởng được dùng để ký Linux tarballs, RPM packages và checksum files, phục vụ việc xác minh rằng gói phần mềm thực sự đến từ Mozilla và không bị sửa đổi trong quá trình phân phối.
Theo Mozilla, việc rà soát audit logs không cho thấy dấu hiệu truy cập trái phép trong thời gian khóa xuất hiện trong kho mã. Tuy vậy, công ty đã áp dụng thêm biện pháp kiểm soát để giảm nguy cơ tái diễn. Mozilla không công bố khóa bị lộ nằm trong GitHub bao lâu hoặc bằng cách nào nó được đưa vào đó.
Với đa số người dùng, thay đổi này không yêu cầu hành động. Tuy nhiên, những ai tự kiểm tra chữ ký GPG cần import khóa ký mới và revocation của khóa cũ. Người dùng cài Firefox qua Mozilla RPM repository trên Fedora 43+ sẽ được DNF tải khóa mới ở lần cập nhật tiếp theo và cần chấp thuận nhập khóa; các bản Fedora 42 trở xuống, RHEL, Rocky Linux, AlmaLinux, openSUSE và SUSE phải xóa khóa cũ và nhập khóa thay thế thủ công.