eMudhraの証明書問題。ブラウザ以外のPythonツールやElectronも更新を確認する
取り上げた理由
ブラウザの更新状況だけでは、アプリや開発ツールが使う証明書の信頼設定まで判断できないためです。
関係する人
certifiやuvを使うPython開発者と、Electronアプリの開発・運用担当者。
起こり得ること
参照したOSV資料は、eMudhraの中間認証局の秘密鍵が侵害された問題と、その影響を受ける証明書を信頼しないための各ソフトの対応を説明しています。本記事ではcertifi、uv、Electronの3つに範囲を絞ります。
成立する条件
certifiの資料は、問題の鍵を持ち、通信経路上にいる攻撃者がTLS通信を傍受・改変し得ると説明しています。Electronの資料も、攻撃者が通信を傍受できるネットワークでTLS接続を行うアプリという条件を示しています。
修正情報
certifiの構造化情報では2026.10.18が修正境界です。一方、説明本文は、その版で削除したemSignルートのうち影響しないものを2026.10.19で復元したとして、2026.10.19以降への更新を推奨しています。修正境界と推奨版を区別してください。
修正情報
uvは既定で同梱の証明書ストアを使います。資料は0.13.4で該当ルートを削除したとして、0.13.4以降への更新を案内しています。
修正情報
Electronの資料が示す修正版は、42.11.16、43.8.1、44.9.1、45.0.0-beta.6です。Chromium側だけでなくNode.js側のTLS・HTTPS・fetch通信にも遮断を適用すると説明しています。
いま確認すること
開発・運用担当者は、実行環境や配布するアプリが実際に使用するパッケージと版を確認してください。certifiを組み込んだコンテナの再ビルドなど、修正済みの構成を利用環境へ届けるところまで確認します。一般の利用者は、使用するアプリの提供元からの更新案内を確認してください。
未確認のこと
個別端末やアプリで偽証明書が使われたか、通信が盗まれたかは確認していません。また、この3資料からChromeのルート削除が全端末へ配信済みかを判断することはできません。
まだ分からないこと
- 個別端末やアプリで偽証明書が使われたか、通信が盗まれたかは確認していません。また、この3資料からChromeのルート削除が全端末へ配信済みかを判断することはできません。
次に確認すること
各OSV資料の推奨版・影響条件・対応状況を点検します。