「Firefox 158.0.1」が公開、秘密鍵が漏洩した「eMudhra」の中間証明書をブロック

「Firefox」v158.0.1

　Mozillaは10月20日（米国時間）、デスクトップ向け「Firefox」の最新版v158.0.1をリリースチャネルで公開した。以下の不具合に対処したマイナーアップデートとなっている。

• テキストを選択すると、ページが予期せず先頭にスクロールしてしまう
• スクリーンリーダーなどの支援技術を実行中に、Windows版でページを印刷・PDFとして保存するとクラッシュする
• Linux版のマルチモニター環境で、ウィンドウが間違ったモニターに開いてしまう
• 一部のユーザーで内蔵VPNをオンにできない
• macOS版で他のアプリからドラッグしたファイルがページにドロップされない

　セキュリティ関連の修正は、全部で4件。深刻度の内訳は、4段階中2番目の「High」が2件、「Moderate」が1件、「Low」が1件となっている。

　このうち1件は、認証局「eMudhra」の中間証明書8件に関連付けられた秘密鍵が漏洩したことをうけたものだ。これらの鍵が悪用されると、攻撃者が管理していないWebサイトのHTTPS証明書を不正に発行できる。通信を傍受できる攻撃者がこうした証明書を使えば、Webサイトになりすまし、通信を盗み見たり改竄したりできるおそれがある。

　そのため、Mozillaは17日（協定世界時）に報告を受けてただちに、失効した証明書の一元的なリスト「OneCRL」で該当する証明書をブロック。標準的な設定の「Firefox」ユーザーには、報告から3時間足らずでその日のうちに配信を完了した。「OneCRL」による保護は、「Firefox」の更新や再起動を必要としないという。

　また、Mozillaは暗号ライブラリ「NSS」v3.131.1でも、問題の中間証明書に署名したルート証明書を信頼リストから削除したとのこと。Mozillaの信頼ストアを利用しながら「OneCRL」の更新を受け取らない、他のアプリなどを保護するための追加措置だ。

　なお、ポリシーなどで「Remote Settings」が無効になっていたり、ネットワーク環境で利用できなかったりして、「OneCRL」の更新を受け取れなかったユーザーは、v158.0.1への更新でこの変更を適用することができる。

　同日リリースの「Firefox ESR 115.43.1」「Firefox ESR 153.5.1」、Android版「Firefox 158.0.1」もアップデートを忘れないようにしたい。

　デスクトップ版「Firefox」はWindows/macOS/Linuxなどに対応する寄付歓迎のフリーソフトで、現在MozillaのWebサイトからダウンロード可能。Windows版はWindows 10/11に対応しており、窓の杜ライブラリからもダウンロードできる。