重要な更新: 2026年7月1日より、Zebraはセキュリティを強化するために必須の多要素認証(MFA)を導入します。詳細はこちら。

eMudhra中間認証機関の侵害

概要

Zebra Technologiesでは、商業認証機関(CA)である eMudhra Technologies Ltd.を含む業界全体の暗号化脆弱性を積極的に監視し、対応しています。

2026年10月17日、セキュリティ研究者は、eMudhraが操作する8つの中間CA証明書に関連付けられているプライベートキーが重大な暗号化上の欠陥(3ビットから8ビットのみの非常に脆弱なエントロピー)とともに生成されたことを開示しました。これにより、第三者はすぐにプライベート署名キーを推論することができます。潜在的な影響は、ZebraのエンタープライズAndroidおよびWindows製品ラインに対して完全に隔離されています。これらの製品ラインは、GoogleおよびMicrosoftからの自動バックグラウンドアップデートによってすでに保護されています。その他のZebra製品は影響を受けません。また、標準でインターネットに接続された展開では、手動での修復は必要ありません。

  • 問題:8 つの eMudhra 中間認証機関に関連する重大な暗号化の欠陥が開示され、攻撃者が安全なウェブサイトをスプーフィングしたり、信頼できる署名を改ざんしたりできる可能性があります。
  • 影響:影響は、ZebraエンタープライズAndroidおよびWindowsデバイスに限定されます。その他すべてのZebra製品とソリューションに影響はありません。この脆弱性は、eMudhraの外部キー生成プロセス内でのみ発生しました。 Zebraのインフラストラクチャ、クラウドプラットフォーム、内部システムは、完全に安全で侵害されていません。
  • Android 用の解決策:標準デバイスの場合は、お客様のアクションは必要ありません。影響を受けるAndroidデバイスは、ブラウザレベルのアップデートと2026年10月19日に展開された緊急のGoogle Playサービスシステムパッチによってすでに自動的に保護されています。ZebraエンタープライズAndroidモバイルコンピュータのほとんどについては、保護はすでにサイレントおよびバックグラウンドコンポーネントを介して自動的に提供されていますGoogle Playサービスと最新のWebブラウザによって提供される更新プログラム。ファームウェアのフラッシュやオペレーティングシステムのアップデートは必要ありません。
  • Windows の解決策:お客様のアクションは必要ありません。 2026 年 10 月 20 日、Microsoft は、影響を受ける中間証明書認証機関をブロックするために、Windows 無効証明書トリスト に更新プログラムを公開しました。また、Microsoft は、Microsoft Edge と WebView2 用の CRLSet 更新プログラムを展開し、影響を受ける TLS 証明書をブロックしました。 EdgeおよびWebView2のアップデートは、コンポーネントの更新メカニズムを通じて自動的に提供されるため、お客様は新しいバージョンのブラウザをインストールする必要はありません。
  • Windows製品の詳細については、 侵害されたeMudhra証明書認証キーに関するMicrosoftの対応に関するブログを参照してください。

追加の詳細:Androidの修復

ZebraエンタープライズAndroidデバイスの場合、修復は使用されているソフトウェアアプリケーションスタックに依存します。

  • ブラウザ(Google ChromeおよびMozilla Firefox) :バックグラウンドブラウザの廃止リストの更新(CRLSSets/OneCRL)と正確な証明書の透明性(CT)の施行により自動的に保護されます。 Google Chrome と Mozilla Firefox は、バンド外の更新を介して影響を受ける公開キー ダッシュに対する信頼を解除しました。
  • ネイティブアプリとWebView(Enterprise Browserを含む) :2026年10月19日にGoogle Playサービスによってプッシュされた緊急コンポーネントアップデートにより自動的に保護されています。

より詳細な技術的背景については、 Googleセキュリティブログ: 侵害された eMudhra Intermediate CA 証明書から Chrome および Android ユーザーを保護する を参照してください。

Androidのアーキテクチャによる詳細な影響分析

1. アンドロイドウェブブラウザ(Google ChromeとMozilla Firefox)

ChromeとFirefoxは、独自の独立したルートストアを管理し、下にあるAndroid OSトラッカーに依存しません。ブラウザベースのアプリケーションの場合、保護はブラウザアプリケーション内で直接適用されます。

Chromeは独自の独立したトラッカーを管理しているため、Android OSトラッカーから証明書を手動で削除または無効にした場合も、Chromeの動作に影響はありません。 Chromeは、内部廃止リスト(CRLSet)に追加することで、侵害されたeMudhra証明書をブロックするアップデートをプッシュしています。これは、インターネット接続時にサイレントかつ即座に適用されます。

さらに、Chromeはネイティブで証明書の透明性(CT)を強化しています。廃止される前に、これらの侵害されたキーに対して有効な証明書が記録されたことがないため、攻撃者が不正な証明書を提出しようとすると、有効な署名付き証明書タイムスタンプ(SCT)がないために、Chromeによって即座に拒否されます。

2. WebViewを使用したAndroidネイティブアプリケーション

スタンドアロンのブラウザを介してではなく直接Webエンドポイントにアクセスするアプリケーションには、Androidシステムレベルのアップデートが必要です。最も一般的な実装は、Zebra Enterprise Browserで利用されるWebViewコントロールAPIを使用することです。

これらのネイティブアプリケーションについては、Googleは、Google Playサービスを通じて自動アップデートを提供しました。このアップデートは、8つの侵害されたeMudhra中間公開キーダッシュをAndroidのセキュアブロックリストに追加するものです。

Googleモバイルサービス(GMS)対応デバイスでは、このアップデートには管理者の介入やOSレベルのファームウェアのアップデートは必要ありません。 ZebraのAndroidデバイスでの技術検証中に、工場出荷時リセットのデバイスをインターネットに接続してから1秒以内に、セキュアなブロックリストのエントリが受信されました。バックグラウンド配送を行うには、デバイスでGoogle Playサービスが有効になっている必要があります。

アクティブ プレイ サービスなしのデバイスの手動軽減

Googleモバイルサービスなしで動作しているデバイス(非GMS)、または制限付きネットワーク内で動作しているデバイスは、自動Googleアップデートを受信することはできません。これらのユニットが WebView ベースのエンタープライズ アプリケーションを実行している場合、管理者は手動で緩和策を適用する必要があります。 Zebraは現在、非GMSプラットフォームの技術的修復パスと長期的な配送オプションを評価しています。一時的に、管理者はネットワークとアプリケーション レベルの制御に集中する必要があります。

ネットワークレベルの補償制御:大規模フリートを管理している企業の場合、手動設定がすぐに実践的ではない場合は、ローカル企業のファイアウォールまたはセキュアなWebゲートウェイ(Zscaler、Palo Alto Networks、Fortinetなど)に検査ルールを実装することを強くお勧めします。 .このルールは、侵害されたeMudhraの中間キーによって署名された証明書を提供するインバウンド接続またはアウトバウンド接続をブロックする必要があります。

手動証明書の無効化手順

  1. [設定] > [セキュリティ](または [セキュリティのプライバシー] > [その他のセキュリティ設定])に移動します。
  2. [暗号化資格情報] > [信頼できる資格情報]を選択します。
  3. 「システム」タブで、次の2つのルート証明書を見つけて「無効」にします(これらを無効にすると、直接チェーンとSectigoのクロス署名バリアントの両方に適用されます)。
    • emSign ECCルートCA - G3 ( eMudhraテクノロジーズリミテッドの下に記載)
    • AAA証明書サービス( Comodo CA Fixedの下に記載)

注: これらのルートを無効にすると、Android システム TLS と WebView アプリケーションが保護されますが、Chrome のようなスタンドアロン ブラウザは、引き続き独自の自動内部更新に依存します。

エンドポイントの検証とテスト

セキュリティ管理者は、このインシデント用に設定された独立のテストエンドポイントに移動することにより、ローカルデバイスとネットワークレベルのセキュリティ動作を検証することができます。

その他のZebra & Elo製品

Zebra産業用およびデスクトッププリンタ、固定RFIDリーダ、マシンビジョンシステム、およびバーコードスキャナは、影響を受けるeMudhra証明書チェーンを利用または信頼せず、完全に影響を受けません。

同様に、Eloクラウドサービス(EloView、Elo Radar、Elo Wirelessを含む)は、eMudhraが発行した証明書を使用しません。 Eloでは、影響を受けるルート証明書を信用できないよう、サーバーサイドトラッカーを積極的に更新しています。 Elo AndroidおよびWindowsハードウェア製品は、上記のオペレーティングシステムおよびブラウザのガイダンスと完全に一致しています。

連絡先とサポート

詳細なテクニカル サポート、ハードウェア検証、またはエンタープライズ展開に関するお問い合わせ:

免責事項: Zebraは、Googleがそれぞれのセキュリティ情報をリリースする時期について、セキュリティアップデートをリリースするようあらゆる試みを行っています。ただし、セキュリティ更新プログラムの配信時間は地域、製品モデル、およびサード パーティのソフトウェア供給業者によって異なる場合があります。一部の状況では、セキュリティ更新プログラムをインストールする前に、OS を最新のメンテナンス リリースに更新する必要があります。個々の製品の更新プログラムは、具体的なガイダンスを提供します。

特に明記されていない限り、これらの新たに報告された問題から積極的な顧客の搾取や悪用の報告はありません。

Zebraテクノロジーズ製品の潜在的なセキュリティ上の問題を認識していますか?