Mozillaは、FirefoxおよびThunderbirdのリリース署名に使用しているGPG鍵をGitHub上で誤って流出させたことを受け、鍵を更新したと発表しました。
ただし、Mozillaは月曜日のブログ投稿で、GitHubリポジトリへのアクセス権を持つ人物が限られていたため、流出した鍵で署名された悪意あるインストーラーが配布されるサプライチェーン攻撃のリスクは低いと述べています。
また、この旧GPG鍵が流出中に不正な第三者にアクセスされたという証拠も、現時点では見つかっていないとしています。
今回の事案を発見した後、Mozillaはこの鍵で署名していたLinux用tarball、RPMパッケージ、チェックサムファイルの署名鍵を失効させ、同様の問題が再発しないよう対策を講じました。
Mozillaはブログ投稿の中で、「本日、一部のFirefoxおよびThunderbirdの成果物（具体的にはLinux用tarball、RPMパッケージ、チェックサムファイル）の署名に使用していた従来のサブキーの暗号化されていないコピーが、誤ってプライベートGitHubリポジトリにコミットされたため、新しいGPG署名用サブキーへの切り替えを行いました」と説明しています。
「利用可能な監査記録を確認しましたが、当該鍵がリポジトリ内に存在していた間に不正な第三者からアクセスされた形跡は見つかりませんでした。このリポジトリへのアクセス権を持っていたのはMozilla内のごく少人数のグループに限られており、いずれのメンバーも別の手段を通じて既にこの鍵への正規のアクセス権を持っていました」としています。
今回のGPG鍵のローテーションに伴い、ほとんどのユーザーは特に対応する必要はありませんが、Mozillaによると、GPG署名を手動で検証しているユーザーは新しい署名鍵と旧鍵の失効情報をインポートする必要があるとのことです。
さらに、RPMパッケージを使ってFirefoxをインストールしているLinuxユーザーは、システムを手動で更新する必要がある場合があるとして、Fedora 43以降、Fedora 42以前、RHEL/Rocky/Almalinux、openSUSE/SUSEベースの各ディストリビューションで、最新のFirefoxアップデートを引き続き受け取るために必要な作業について詳細な手順を公開しました。
なお、Thunderbirdは公式のRPMパッケージを提供していないため、Thunderbirdユーザーについては RPM関連の対応は不要です。
新しい署名用サブキーの有効期限は2028年8月5日で、新しい公開鍵および旧鍵の失効情報は、最新のFirefox Nightly版のKEYファイルおよびkeys.openpgp.orgから入手できます。
攻撃者に先んじて、すべての防御層をテストする
セキュリティチームが記録できている攻撃成功件数はわずか54%で、アラートが上がるのはそのうちたった14%に過ぎません。残りは環境内を検知されないまま通り抜けています。
Picusのホワイトペーパーでは、breach and attack simulation（侵害・攻撃シミュレーション）によってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を紹介しています。
