Ubuntu remove certificados de CA após incidente com intermediários da eMudhra

O que aconteceu e o que fazer

O aviso USN-8944-2 da Ubuntu Security complementa o USN-8944-1 e atinge as versões LTS 14.04, 16.04, 18.04 e 20.04. A atualização remove os certificados "emSign ECC Root CA - G3" e "Comodo AAA Services root", o primeiro devido ao comprometimento de certificados intermediários relacionados ao incidente da eMudhra. Nas versões 22.04, 24.04 e 26.04 LTS, o pacote continha certificados de CA desatualizados, que foram renovados para corresponder à versão 2.90 do repositório de autoridades certificadoras da Mozilla.

Para uma empresa, a consequência prática é que sistemas que confiam em cadeias emitidas por essas CAs passam a rejeitar essas conexões após a atualização, o que pode quebrar integrações, coletores de dados e APIs internas. Um caminho seguro é inventariar quais servidores, contêineres e pipelines usam os pacotes afetados, testar a atualização em ambiente de homologação, monitorar erros de validação TLS após a implantação e manter um registro de quais certificados foram removidos e por quê. Em ambientes com cadeias de confiança customizadas, vale também revisar certificados internos adicionados manualmente.

Como a consultoria pode ajudar

Diagnóstico de exposição a certificados removidos em parques Ubuntu, com inventário de hosts e pipelines afetados e plano de atualização com testes em homologação. Implementação de monitoramento de erros TLS e de alertas para falhas de validação de cadeia após a aplicação do patch, operado sob escopo definido.

Próximo passo

Se a sua organização mantém servidores Ubuntu, coletores de dados ou integrações que dependem de conexões TLS, envie uma breve descrição do seu ambiente e do seu caso. Respondemos com uma proposta escopada para inventário, atualização e monitoramento.