Lanzamiento: el nuevo centro de asistencia de Zebra ya está disponible. ¡Descubra una experiencia de asistencia más inteligente y más rápida!

Compromiso de las autoridades de certificación intermedias de eMudhra

Resumen ejecutivo

Zebra Technologies está monitoreando y abordando activamente una vulnerabilidad criptográfica en toda la industria que involucra a eMudhra Technologies Limited, una autoridad de certificación (CA) comercial.

El 17 de octubre de 2026, investigadores de seguridad revelaron que las claves privadas asociadas con ocho certificados de CA intermedios operados por eMudhra se generaron con defectos criptográficos críticos (entropía extremadamente débil de solo 3 a 8 bits), lo que permite a terceros deducir inmediatamente las claves de firma privadas. El impacto potencial está estrictamente aislado de las líneas de productos Android y Windows de Zebra, las cuales ya han sido protegidas a través de actualizaciones automatizadas en segundo plano de Google y Microsoft. Ningún otro producto Zebra se ve afectado y no se requiere corrección manual para las implementaciones estándar conectadas a Internet.

  • El problema : se reveló una falla criptográfica crítica que involucraba a ocho autoridades de certificación intermedias de eMudhra, lo que podría permitir a los atacantes falsificar sitios web seguros o falsificar firmas de confianza.
  • El impacto : El impacto se limita a dispositivos Android y Windows de Zebra enterprise; todos los demás productos y soluciones de Zebra no se ven afectados. Esta vulnerabilidad se originó estrictamente dentro del proceso de generación de claves externas de eMudhra. La infraestructura, las plataformas en la nube y los sistemas internos de Zebra están completamente seguros y sin compromisos.
  • La resolución para Android : no se requiere ninguna acción del cliente para dispositivos estándar. Los dispositivos Android afectados ya están protegidos automáticamente a través de actualizaciones de revocación a nivel de navegador y un parche de emergencia del sistema Google Play Services implementado el 19 de octubre de 2026. Para la gran mayoría de Zebra ordenadores móviles Android empresariales, la protección ya se entregó de forma silenciosa y automática a través de un componente en segundo plano actualizaciones proporcionadas por Google Play Services y navegadores web modernos. No se requieren actualizaciones de firmware ni de sistema operativo.
  • La resolución para Windows : no se requiere ninguna acción del cliente. El 20 de octubre de 2026, Microsoft publicó una actualización de la Lista de confianza de certificados no permitidos de Windows para bloquear las autoridades de certificación intermedias afectadas. Microsoft también implementó una actualización de CRLSet independiente para Microsoft Edge y WebView2 para bloquear los certificados TLS afectados. La actualización de Edge y WebView2 se entrega automáticamente a través del mecanismo de actualización de componentes y no requiere que los clientes instalen una nueva versión del navegador.
  • Para obtener información detallada sobre los productos de Windows, consulte la respuesta de Microsoft al blog de claves de entidad de certificación de eMudhra comprometidas .

Detalles adicionales: Corrección de Android

En el caso de los dispositivos Android de Zebra Enterprise, la corrección depende de la pila de aplicaciones de software en uso:

  • Navegadores (Google Chrome y Mozilla Firefox) : protegido automáticamente a través de actualizaciones de la lista de revocación del navegador en segundo plano (CRLSets/OneCRL) y una aplicación estricta de la transparencia de certificados (CT). Google Chrome y Mozilla Firefox han revocado la confianza para los hash de clave pública afectados a través de actualizaciones fuera de banda.
  • Aplicaciones nativas y WebView (incluido Enterprise Browser) : protegido automáticamente a través de una actualización de componentes de emergencia impulsada por Google Play Services el 19 de octubre de 2026, que agregó los certificados de eMudhra a la Lista de revocación (lista de bloqueo) del almacén de confianza del sistema de Android.

Para obtener más información técnica, consulte el Blog de seguridad de Google: Proteger a los usuarios de Chrome y Android de los certificados de CA intermedios de eMudhra comprometidos .

Análisis de impacto detallado por arquitectura en Android

1. Navegadores web Android (Google Chrome y Mozilla Firefox)

Chrome y Firefox administran sus propios almacenes raíz independientes y no dependen del almacén de confianza del sistema operativo Android subyacente. En el caso de las aplicaciones basadas en navegador, la protección se aplica directamente dentro de la propia aplicación del navegador.

Debido a que Chrome administra su propio almacén de confianza independiente, quitar o deshabilitar manualmente los certificados del Sistema operativo Android Trust Store no afectará el comportamiento de Chrome. Chrome ha empujado actualizaciones que bloquean los certificados eMudhra comprometidos agregándolos a su lista de revocación interna (CRLSet), que se aplica en silencio y al instante tras la conexión a Internet.

Además, Chrome aplica de forma nativa la Transparencia de certificados (CT). Debido a que nunca se registraron certificados legítimos para estas claves comprometidas antes de la revocación, cualquier intento de un atacante de presentar un certificado falsificado será rechazado instantáneamente por Chrome debido a la falta de marcas de tiempo del certificado firmado (SCT) válidas.

2. Aplicaciones nativas de Android con WebView

Es necesaria una actualización a nivel de sistema Android para las aplicaciones que acceden a los puntos de conexión web directamente en lugar de a través de un navegador independiente. La implementación más común es a través de la API de control WebView, que utiliza Zebra Enterprise Browser.

Para estas aplicaciones nativas, Google ha entregado una actualización automática a través de Google Play Services que añade los ocho hash de clave pública intermedia eMudhra comprometida a la lista de bloqueo seguro de Android.

En los dispositivos habilitados para Google Mobile Services (GMS), esta actualización no requiere intervención administrativa ni actualizaciones de firmware a nivel del sistema operativo. Durante la validación técnica en Zebra dispositivos Android, las entradas de la lista de bloqueo seguro llegaron en poco más de un segundo después de que un dispositivo de restablecimiento de fábrica se conectó a Internet. Esta entrega en segundo plano requiere que Google Play Services esté habilitado en el dispositivo.

Mitigación manual para dispositivos sin servicios Active Play

Los dispositivos que funcionan sin los servicios móviles de Google (no GMS) o en redes restringidas no pueden recibir la actualización automatizada de Google. Si estas unidades ejecutan aplicaciones empresariales basadas en WebView, los administradores deben aplicar los pasos de mitigación manuales. Zebra está evaluando actualmente las rutas de corrección técnica y las opciones de entrega a largo plazo para las plataformas que no son GMS. Mientras tanto, los administradores deben centrarse en los controles de red y de aplicación.

Control de compensación a nivel de red: para las empresas que gestionan grandes flotas donde la configuración manual no es práctica de inmediato, se recomienda encarecidamente implementar una regla de inspección en los firewalls corporativos locales o puertas de enlace web seguras (como Zscaler, Palo Alto Networks, Fortinet, etc.) . La regla debe bloquear cualquier conexión entrante o saliente que presente certificados firmados por las claves intermedias de eMudhra comprometidas, lo que actúa como una barrera de red inmediata mientras se actualizan las configuraciones de los dispositivos locales.

Procedimiento manual de inhabilitación de certificados

  1. Vaya a Configuración > Seguridad (o Privacidad de seguridad > Más configuraciones de seguridad).
  2. Seleccione Credenciales de cifrado > Credenciales de confianza .
  3. En la pestaña Sistema , localice y active Deshabilitar los dos certificados raíz siguientes (la deshabilitación de estos cubre tanto las cadenas directas como las variantes con firma cruzada de Sectigo):
    • emSign ECC Root CA - G3 (Incluido en eMudhra Technologies Limited )
    • Servicios de certificados AAA (enumerados en Comodo CA Limited )

Nota: La deshabilitación de estas raíces protege las aplicaciones TLS y WebView del sistema Android, pero los navegadores independientes como Chrome seguirán confiando en sus propias actualizaciones internas automáticas.

Puntos de conexión de verificación y prueba

Los administradores de seguridad pueden validar los comportamientos de seguridad del dispositivo local y de la red navegando hasta los puntos de conexión de prueba independientes establecidos para este incidente:

Otros productos Zebra y Elo

Las impresoras industriales y de escritorio, los lectores RFID fijos, los sistemas de procesamiento de imágenes y los escáneres de códigos de barras de Zebra no utilizan las cadenas de certificados eMudhra afectadas ni confían en ellas, por lo que no se ven afectadas en absoluto.

Del mismo modo, los servicios en la nube de Elo (incluidos EloView, Elo Radar y Elo Remote) no utilizan certificados emitidos por eMudhra. Elo está actualizando de forma proactiva sus almacenes de confianza del lado del servidor para desconfiar de los certificados raíz afectados. Los productos de hardware de Elo Android y Windows están totalmente alineados con el sistema operativo y la guía del navegador detallada anteriormente.

Contacto y soporte

Para obtener más asistencia técnica, verificación de hardware o consultas sobre implementación empresarial:

Descargo de responsabilidad: Zebra realiza todos los intentos de publicar actualizaciones de seguridad en o sobre el momento en que Google publica su respectivo boletín de seguridad. Sin embargo, el tiempo de entrega de las actualizaciones de seguridad puede variar según la región, el modelo de producto y los proveedores de software de terceros. En algunas circunstancias, el sistema operativo debe actualizarse a la versión de mantenimiento más reciente antes de instalar las actualizaciones de seguridad. Las actualizaciones individuales de productos proporcionarán orientación específica.

A menos que se indique lo contrario, no ha habido informes de explotación activa del cliente o abuso de estos problemas recientemente informados.

¿Conoce un posible problema de seguridad con un producto de Zebra Technologies?