eMudhra 中级证书颁发机构的受损

执行摘要

Zebra Technologies 正在积极监控并解决一个涉及商业证书颁发机构 (CA) eMudhra Technologies Limited 的全行业加密漏洞。

2026 年 10 月 17 日，安全研究人员披露，与 eMudhra 运营的八个中间 CA 证书相关的私钥在生成时存在严重的密码缺陷（仅 3 到 8 位的极弱熵），可让第三方立即推导私人签名密钥。此次潜在影响仅限于 Zebra 的企业 Android 和 Windows 产品线，两项产品线均已通过谷歌和微软的自动后台更新受到保护。不影响其他 Zebra 产品，连接互联网的标准部署无需手动修复。

• 问题：已披露了涉及八个 eMudhra 中级证书颁发机构的严重加密缺陷，该缺陷可能使攻击者能够欺骗安全网站或伪造受信任签名。
• 影响：影响仅限于 Zebra 企业 Android 和 Windows 设备；其他各种 Zebra 产品和解决方案不受影响。此漏洞源于 eMudhra 的外部密钥生成过程。 Zebra 基础设施、云平台和内部系统是绝对安全的，不会受到影响。
• Android 的解决方案：客户无需为标准设备执行任何操作。受影响的 Android 设备已经通过浏览器级撤销更新和 2026 年 10 月 19 日部署的紧急 Google Play 服务系统补丁自动受到保护。对于绝大多数 Zebra 企业 Android 移动数据终端，已经通过后台组件自动自动提供保护。 Google Play 服务和现代 Web 浏览器提供的更新。无需固件闪烁或操作系统更新。
• Windows 的解决方案：客户无需操作。 2026 年 10 月 20 日，Microsoft 发布了 Windows 不允许的证书信任列表更新，以阻止受影响的中级证书颁发机构。 Microsoft 还为 Microsoft Edge 和 WebView2 部署了单独的 CRLSet 更新，以阻止受影响的 TLS 证书。 Edge 和 WebView2 更新通过组件更新机制自动交付，无需客户安装新的浏览器版本。
• 有关 Windows 产品的详细信息，请参阅Microsoft 响应受损 eMudhra 证书颁发机构密钥的博客。

其他详细信息：Android 修复

对于 Zebra 企业 Android 设备，修复取决于使用的软件应用程序堆栈：

• 浏览器（Google Chrome 和 Mozilla Firefox） ：通过后台浏览器撤销列表更新 (CRLSets/OneCRL) 和严格的证书透明度 (CT) 执行自动保护。 Google Chrome 和 Mozilla Firefox 已通过带外更新撤销了受影响公钥散列的信任。
• 本机应用和 WebView（包括 Enterprise Browser） ：通过 Google Play 服务于 2026 年 10 月 19 日推送的紧急组件更新自动保护，此更新将 eMudhra 证书添加到 Android 系统信任存储区的撤销列表（阻止列表）。

有关更多技术背景，请参阅Google 安全博客：保护 Chrome 和 Android 用户免遭泄露的 eMudhra 中级 CA 证书。

Android 上按架构划分的详细影响分析

1. Android Web 浏览器（Google Chrome 和 Mozilla Firefox）

Chrome 和 Firefox 管理自己的独立根存储，不依赖于底层 Android 操作系统信任存储。对于基于浏览器的应用程序，将在浏览器应用程序本身内直接实施保护。

由于 Chrome 会管理自己的独立信任存储区，因此从 Android 操作系统信任存储区手动删除或禁用证书不会影响 Chrome 的行为。 Chrome 已经推送了更新，通过将受损的 eMudhra 证书添加到其内部撤销列表 (CRLSet) 中来阻止这些证书，该列表会在互联网连接上立即静默应用。

此外，Chrome 浏览器本身会执行证书透明度 (CT)。由于在撤销之前，泄露密钥未为这些合法证书记录任何合法证书，因此，攻击者试图伪造证书的任何尝试都将被 Chrome 直接拒绝，因为这缺少有效的签名证书时间戳 (SCT)。

2. 使用 WebView 的 Android 本机应用程序

对于直接而不是通过独立浏览器访问 Web 端点的应用程序，需要进行 Android 系统级更新。常见的实施是通过 Zebra Enterprise Browser 使用的 WebView 控制 API。

对于这些本机应用程序，Google 已通过 Google Play 服务提供自动更新，可将 1 个受损的 eMudhra 中间公钥散列附加到 Android 的安全阻止列表中。

在启用了 Google 移动服务 (GMS) 的设备上，此更新无需管理干预或操作系统级固件更新。在 Zebra Android 设备的技术验证过程中，将恢复出厂设置的设备连接到互联网后，安全阻止列表条目在一秒多的时间内到达。此后台交付需要在设备上启用 Google Play 服务。

对不带 Active Play Services 的设备进行手动缓解

不使用 Google 移动服务（非 GMS）或在受限网络中运行的设备无法接收自动 Google 更新。如果这些装置运行基于 WebView 的企业应用，管理员必须应用手动缓解步骤。 Zebra 目前正在评估非 GMS 平台的技术修复路径和长期交付选项。在此期间，管理员应将重点放在网络和应用程序级控制上。

手动证书禁用程序

1. 导航到Settings（设置）> Security（安全性）（或 安全和隐私 > 更多安全设置）。
2. 选择加密凭据>受信任凭据。
3. 在System（系统）选项卡下，找到以下两个根证书并将其切换为Disable （禁用这些证书将涵盖直接链和 Sectigo 交叉签名变体）：
   • emSign ECC 根 CA - G3 （列在eMudhra Technologies Limited旗下）
   • AAA 证书服务（列在Comodo CA Limited名下）

注意：禁用这些根更新可以保护 Android 系统 TLS 和 WebView 应用程序，但 Chrome等独立浏览器将继续依赖于其自身的自动内部更新。

验证和测试端点

安全管理员可以通过导航到为此事件建立的独立测试端点，验证本地设备和网络级安全行为：

• 初级受损中级测试： https://dv-g3b-emudhra.we- have-a-problem.com/
• 一般事件参考和测试套件： https://emudhra.we- have-a-problem.com/

其他 Zebra 和 Elo 产品

Zebra 工业和桌面打印机、固定式 RFID 读取器、机器视觉系统和条形码扫描器不利用或不信任受影响的 eMudhra 证书链，因此完全不受影响。

同样，Elo 云服务（包括 EloView、Elo Radar 和 Elo Remote）不使用 eMudhra 颁发的证书。 Elo 正在主动更新其服务器端信任存储，以取消信任受影响的根证书。 Elo Android 和 Windows 硬件产品完全符合上文详述的操作系统和浏览器指南。

联系与支持

如需进一步的技术帮助、硬件验证或企业部署查询：

• Zebra 技术支持： https://support.zebra.com/
• Zebra 产品安全性： ProductSecurity@zebra.com