Aggiornamento importante: a partire dal 1 luglio 2026, Zebra sta implementando l'autenticazione Multi-Factor (MFA) obbligatoria per migliorare la sicurezza. Per saperne di più .
Compromesso delle autorità di certificazione intermedie di eMudhra
Riepilogo esecutivo
Zebra Technologies sta monitorando e affrontando attivamente una vulnerabilità crittografica a livello di settore che coinvolge eMudhra Technologies Limited, un'autorità di certificazione (CA) commerciale.
Il 17 ottobre 2026, i ricercatori di sicurezza hanno rivelato che le chiavi private associate a otto certificati CA intermedi gestiti da eMudhra sono state generate con difetti crittografici critici (entropia estremamente debole di soli 3-8 bit), consentendo a terze parti di dedurre immediatamente le chiavi di firma private. Il potenziale impatto è strettamente isolato per le linee di prodotti Android e Windows aziendali di Zebra, che sono già state protette tramite aggiornamenti automatici in background di Google e Microsoft. Nessun altro prodotto Zebra è interessato e non è necessaria alcuna correzione manuale per le distribuzioni standard connesse a Internet.
- Il problema : È stato rivelato un difetto crittografico critico che coinvolge otto autorità di certificazione intermedie eMudhra, consentendo potenzialmente agli aggressori di falsificare siti Web sicuri o falsificare firme attendibili.
- L'impatto : L'impatto è limitato ai dispositivi Android e Windows aziendali di Zebra; tutti gli altri prodotti e soluzioni Zebra non sono interessati. Questa vulnerabilità ha avuto origine rigorosamente all'interno del processo di generazione della chiave esterna di eMudhra. L'infrastruttura, le piattaforme cloud e i sistemi interni di Zebra sono completamente sicuri e senza compromessi.
- La risoluzione per Android : non è richiesta alcuna azione da parte del cliente per i dispositivi standard. I dispositivi Android interessati sono già protetti automaticamente tramite aggiornamenti di revoca a livello di browser e una patch di emergenza di sistema Google Play Services distribuita il 19 ottobre 2026. Per la stragrande maggioranza dei computer mobili Android aziendali di Zebra, la protezione è già stata fornita in modo invisibile all'utente tramite il componente in background aggiornamenti forniti da Google Play Services e dai moderni browser web. Non sono necessari aggiornamenti del firmware o del sistema operativo.
- La risoluzione per Windows : non è richiesta alcuna azione da parte del cliente. Il 20 ottobre 2026 Microsoft ha pubblicato un aggiornamento all'elenco di certificati attendibili di Windows non consentiti per bloccare le autorità di certificazione intermedie interessate. Microsoft ha anche distribuito un aggiornamento CRLSet separato per Microsoft Edge e WebView2 per bloccare i certificati TLS interessati. L'aggiornamento di Edge e WebView2 viene recapitato automaticamente tramite il meccanismo di aggiornamento dei componenti e non richiede ai clienti di installare una nuova versione del browser.
- Per informazioni dettagliate sui prodotti Windows, vedere il blog Microsoft Response to Compromised eMudhra Certificate Authority Keys .
Ulteriori dettagli: Correzione Android
Per i dispositivi Android aziendali Zebra, la correzione dipende dallo stack dell'applicazione software in uso:
- Browser (Google Chrome e Mozilla Firefox) : protetto automaticamente tramite gli aggiornamenti in background dell'elenco di revoche del browser (CRLSet/OneCRL) e l'applicazione rigorosa della trasparenza dei certificati (CT). Google Chrome e Mozilla Firefox hanno revocato l'attendibilità degli hash della chiave pubblica interessati tramite aggiornamenti fuori banda.
- App native e WebView (incluso Enterprise Browser) : protetto automaticamente tramite un aggiornamento dei componenti di emergenza spinto da Google Play Services il 19 ottobre 2026, che ha aggiunto i certificati eMudhra all'elenco di revoche (blocklist) del Trust Store di sistema di Android.
Per ulteriori informazioni tecniche, consulta il Blog sulla sicurezza di Google: Protezione degli utenti Chrome e Android dai certificati CA intermedi eMudhra compromessi .
Analisi dettagliata dell'impatto per architettura su Android
1. Browser Web Android (Google Chrome e Mozilla Firefox)
Chrome e Firefox gestiscono i propri archivi di root indipendenti e non si basano sul truststore del sistema operativo Android sottostante. Per le applicazioni basate su browser, la protezione viene applicata direttamente all'interno dell'applicazione browser stessa.
Poiché Chrome gestisce il proprio truststore indipendente, la rimozione o la disabilitazione manuale dei certificati dall'Android OS Trust Store non influirà sul comportamento di Chrome. Chrome ha inviato aggiornamenti che bloccano i certificati eMudhra compromessi aggiungendoli al suo elenco di revoche interne (CRLSet), che si applica in modo silenzioso e istantaneo alla connessione Internet.
Inoltre, Chrome applica in modo nativo la trasparenza dei certificati (CT). Poiché non sono mai stati registrati certificati legittimi per queste chiavi compromesse prima della revoca, qualsiasi tentativo da parte di un utente malintenzionato di presentare un certificato contraffatto verrà immediatamente respinto da Chrome a causa della mancanza di timestamp del certificato firmato (SCT) validi.
2. Applicazioni native Android che utilizzano WebView
Per le applicazioni che accedono agli endpoint Web direttamente anziché tramite un browser autonomo è necessario un aggiornamento a livello di sistema Android. L'implementazione più comune avviene tramite l'API di controllo WebView, che viene utilizzata da Zebra Enterprise Browser.
Per queste applicazioni native, Google ha fornito un aggiornamento automatico tramite Google Play Services che aggiunge gli otto hash di chiave pubblica intermedia eMudhra compromessi alla blocklist sicura di Android.
Sui dispositivi abilitati per Google Mobile Services (GMS), questo aggiornamento non richiede alcun intervento amministrativo o aggiornamenti del firmware a livello di sistema operativo. Durante la convalida tecnica sui dispositivi Android di zebra, le voci della blocklist sicura sono arrivate in poco più di un secondo dopo che un dispositivo di ripristino di fabbrica era connesso a Internet. Questo recapito in background richiede che Google Play Services sia abilitato sul dispositivo.
Mitigazione manuale per dispositivi senza Active Play Services
I dispositivi che funzionano senza Google Mobile Services (non GMS) o in reti con restrizioni non possono ricevere l'aggiornamento automatico di Google. Se queste unità eseguono applicazioni aziendali basate su WebView, gli amministratori devono applicare la procedura di mitigazione manuale. Zebra sta attualmente valutando percorsi di correzione tecnica e opzioni di consegna a lungo termine per piattaforme non GMS. Nel frattempo, gli amministratori devono concentrarsi sui controlli a livello di rete e applicazione.
Controllo di compensazione a livello di rete: per le aziende che gestiscono flotte di grandi dimensioni in cui la configurazione manuale non è immediatamente pratica, si consiglia vivamente di implementare una regola di ispezione sui firewall aziendali locali o sui gateway Web sicuri (come Zscaler, Palo Alto Networks, Fortinet, ecc.) . La regola dovrebbe bloccare tutte le connessioni in entrata o in uscita che presentano certificati firmati dalle chiavi intermedie eMudhra compromesse, fungendo da barriera di rete immediata mentre le configurazioni dei dispositivi locali vengono aggiornate.
Procedura di disabilitazione manuale dei certificati
- Passare a Impostazioni> Sicurezza (o Privacy sicurezza> Altre impostazioni di sicurezza).
- Selezionare Credenziali di crittografia > Credenziali attendibili .
- Nella scheda Sistema , individuare e attivare Disabilita sui seguenti due certificati radice (la disabilitazione copre sia le catene dirette che le varianti con firma incrociata di Sectigo):
- emSign ECC Root CA - G3 (elencato sotto eMudhra Technologies Limited )
- Servizi certificati AAA (elencati sotto Comodo CA Limited )
Nota: la disabilitazione di queste radici protegge le applicazioni TLS e WebView del sistema Android, ma i browser autonomi come Chrome continueranno a fare affidamento sui propri aggiornamenti interni automatici.
Endpoint di verifica e test
Gli amministratori della sicurezza possono convalidare i comportamenti di sicurezza a livello di rete e dispositivo locale accedendo agli endpoint di test indipendenti stabiliti per questo incidente:
- Test intermedio compromesso primario : https://dv-g3b-emudhra.we-have-a-problem.com /
- Suite di riferimento e test generale per gli incidenti : https://emudhra.we-have-a-problem.com/
Altri prodotti Zebra ed Elo
Le stampanti industriali e desktop, i lettori RFID fissi, i sistemi di visione artificiale e gli scanner di codici a barre Zebra non utilizzano né si fidano delle catene di certificati eMudhra interessate e non sono completamente interessati.
Allo stesso modo, i servizi cloud Elo (inclusi EloView, Elo Radar ed Elo Remote) non utilizzano certificati emessi da eMudhra. Elo sta aggiornando in modo proattivo i suoi archivi attendibili lato server per non fidarsi dei certificati radice interessati. I prodotti hardware Elo Android e Windows sono completamente allineati al sistema operativo e alle indicazioni del browser sopra descritte.
Contatti e supporto
Per ulteriore assistenza tecnica, verifica hardware o richieste di distribuzione aziendale:
- Supporto tecnico Zebra : https://support.zebra.com/
- Sicurezza dei prodotti Zebra : ProductSecurity@zebra.com
Disclaimer: Zebra fa ogni tentativo di rilasciare gli aggiornamenti di sicurezza il o circa il momento in cui Google rilascia il rispettivo bollettino sulla sicurezza. Tuttavia, i tempi di consegna degli aggiornamenti della sicurezza possono variare a seconda dell'area geografica, del modello prodotto e dei fornitori di software di terze parti. In alcune circostanze, il sistema operativo deve essere aggiornato alla versione di manutenzione più recente prima di installare gli aggiornamenti della sicurezza. I singoli aggiornamenti dei prodotti forniranno indicazioni specifiche.
Se non diversamente specificato, non ci sono state segnalazioni di sfruttamento attivo dei clienti o abusi da questi problemi segnalati di recente.
Sei a conoscenza di un potenziale problema di sicurezza con un prodotto di Zebra Technologies?
