El equipo de desarrollo de Go publicó un parche de seguridad expedito el 19 de octubre para mitigar una vulnerabilidad crítica en la infraestructura de claves públicas (PKI) asociada a los certificados de eMudhra. La amenaza, detectada tras investigaciones de investigadores independientes y confirmada por Mozilla, consistía en claves privadas débiles que permitían la recuperación de claves privadas en microsegundos. Esto permitía a atacantes firmar certificados TLS arbitrarios para cualquier dominio, facilitando ataques de intermediario man-in-the-middle (MITM) sin necesidad de demostrar el control del dominio. Para proteger a los usuarios, Go implementó un verificador de certificados en su biblioteca estándar que, en Linux, bloqueaba la confianza en los certificados comprometidos mediante una actualización de la librería, ya que el sistema operativo carecía de mecanismos nativos de revocación. El equipo de seguridad de Go utilizó por primera vez la 'trayectoria URGENT' para lanzar las versiones 1.27.3 y 1.26.10 en menos de siete y medio horas desde la notificación inicial, evitando la exposición pública de las claves antes de que los atacantes las obtuvieran. Este incidente marcó un cambio en el proceso de liberación de Go, que tradicionalmente se extendía en varios días, y ha llevado a la organización a optimizar sus flujos de trabajo para reducir el tiempo de respuesta ante amenazas urgentes. Además, se planea priorizar el trabajo para igualar el soporte de revocación en Linux, investigando la integración del proyecto upki para mejorar la eficiencia y privacidad en la revocación de certificados.
Noticias agregadas con IA