Mozilla revocó la clave GPG empleada para firmar los artefactos Linux de Firefox y Thunderbird. Una copia sin cifrar de esa clave fue enviada por error a un repositorio privado de GitHub. La revocación hace que las firmas de versiones anteriores dejen de verificarse al importar la nueva clave. 1The Hacker NewsMozilla Revokes Firefox and Thunderbird Linux Signing Key After Key Lands in Private Repo11 ago, 08:042The RegisterMozilla revokes Firefox signing key after unencrypted copy lands in GitHub11 ago, 07:363SecurityWeekMozilla Issues New Firefox GPG Key Following Exposure11 ago, 02:16

La clave permitía a usuarios y gestores de paquetes confirmar que los archivos provenían de Mozilla y no fueron alterados. 1The Hacker NewsMozilla Revokes Firefox and Thunderbird Linux Signing Key After Key Lands in Private Repo11 ago, 08:042The RegisterMozilla revokes Firefox signing key after unencrypted copy lands in GitHub11 ago, 07:36

La revisión de los registros de auditoría no halló evidencia de acceso no autorizado mientras la clave estuvo en el repositorio. Mozilla añadió salvaguardas para prevenir una repetición, aunque no explicó cómo la clave llegó al repositorio. 1The Hacker NewsMozilla Revokes Firefox and Thunderbird Linux Signing Key After Key Lands in Private Repo11 ago, 08:042The RegisterMozilla revokes Firefox signing key after unencrypted copy lands in GitHub11 ago, 07:363SecurityWeekMozilla Issues New Firefox GPG Key Following Exposure11 ago, 02:16

Para la mayoría de los usuarios no se requiere ninguna acción. Quienes verifican firmas manualmente deben importar la nueva clave y la revocación de la anterior. 1The Hacker NewsMozilla Revokes Firefox and Thunderbird Linux Signing Key After Key Lands in Private Repo11 ago, 08:042The RegisterMozilla revokes Firefox signing key after unencrypted copy lands in GitHub11 ago, 07:363SecurityWeekMozilla Issues New Firefox GPG Key Following Exposure11 ago, 02:16

Los usuarios de los paquetes RPM de Mozilla pueden necesitar pasos adicionales. La nueva subclave, publicada el lunes, es válida hasta agosto de 2028. 1The Hacker NewsMozilla Revokes Firefox and Thunderbird Linux Signing Key After Key Lands in Private Repo11 ago, 08:042The RegisterMozilla revokes Firefox signing key after unencrypted copy lands in GitHub11 ago, 07:363SecurityWeekMozilla Issues New Firefox GPG Key Following Exposure11 ago, 02:16