Mozilla

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 3 ตัวที่สวมรอยกระเป๋าคริปโต Phantom, Jupiter และ Bitget บนร้าน Firefox Add-ons ทั้งชื่อ ไอคอน และคำโฆษณา โค้ดดักจับ recovery phrase และ private key ที่ผู้ใช้กรอกหรือวาง แล้วส่งไปยังโดเมนย่อยของ bonto.io ตัวปลอม Phantom ยังมี loader ที่ส่งโค้ดไม่อันตรายระหว่างรีวิวและส่งตัวขโมยหลังผ่าน รวมถึงปั่นรีวิวจาก 275 เป็น 546 ใน 2 วัน ทั้ง 3 ตัวถูกถอดแล้ว ผู้ที่กรอก recovery phrase ต้องสร้างกระเป๋าใหม่บนเครื่องที่สะอาดแล้วย้ายเงินทันที

GoDaddy เพิกถอนใบรับรอง SSL/TLS 404,607 ใบ หลังบุคคลภายนอกพบว่าใบรับรองในเชน GoDaddy และ Starfield มีข้อมูล policy OID และ CPS URI ไม่ตรงกับ CP/CPS ที่ประกาศไว้ ตาม Baseline Requirements ต้องเพิกถอนภายใน 5 วัน แต่เมื่อถึงเส้นตาย 18 ตุลาคม เพิกถอนได้เพียง 170,566 ใบ จึงเกิดเหตุไม่สอดคล้องครั้งที่สอง ใบรับรองส่วนใหญ่เป็นแบบ DV และเหตุนี้ไม่ใช่การขโมยกุญแจส่วนตัว ลูกค้าที่ยังไม่ติดตั้งใบใหม่อาจเจอคำเตือนในเบราว์เซอร์หรือเข้าเว็บไม่ได้

Mozilla ประกาศเพิกถอนกุญแจ GPG ที่ใช้เซ็นไฟล์ดาวน์โหลด Firefox และ Thunderbird สำหรับ Linux หลังพบว่ากุญแจฉบับไม่เข้ารหัสถูกคอมมิตเข้าคลังโค้ดส่วนตัวของบริษัทเองโดยไม่ได้ตั้งใจ บริษัทระบุว่าไม่พบร่องรอยการเข้าถึงโดยไม่ได้รับอนุญาต แต่เลือกเพิกถอนไว้ก่อน The Hacker News ถอดรหัสใบเพิกถอนแล้วพบเหตุผลรหัส 2 ซึ่งหมายถึงกุญแจถูกเจาะ ส่งผลให้ลายเซ็นของไฟล์รุ่นเก่าที่เคยเซ็นด้วยกุญแจนี้ตรวจสอบไม่ผ่านอีกต่อไป