उत्तरप्रकाशित14 स्रोत
Mozilla ने Firefox GPG साइनिंग की को रिवोक किया: GitHub पर लीक हुई प्राइवेट की, नई की जारी
10 अगस्त 2026 को Mozilla ने खुलासा किया कि Firefox और Thunderbird के Linux आर्टिफैक्ट्स के लिए इस्तेमाल होने वाली एक अनएन्क्रिप्टेड GPG प्राइवेट सबकी गलती से एक प्राइवेट GitHub रिपॉजिटरी में कमिट हो गई थी। Mozilla की जांच में कोई अनधिकृत पहुंच नहीं मिली, फिर भी की को रिवोक कर दिया गया और एक नई सबकी जारी की गई, जो 5...
प्रकाशितकर्ताDeepSeek-V4-Flash से संपादितGPT Image 1.5 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- 10 अगस्त 2026 को Mozilla ने खुलासा किया कि Firefox और Thunderbird के Linux आर्टिफैक्ट्स के लिए इस्तेमाल होने वाली एक अनएन्क्रिप्टेड GPG प्राइवेट सबकी गलती से एक प्राइवेट GitHub रिपॉजिटरी में कमिट हो गई थी।
- Mozilla की जांच में कोई अनधिकृत पहुंच नहीं मिली, फिर भी की को रिवोक कर दिया गया और एक नई सबकी जारी की गई, जो 5 अगस्त 2028 तक वैध है।
- Fedora 42 और उससे पुराने, RHEL, Rocky Linux, AlmaLinux, openSUSE और SUSE यूजर्स को पुरानी की को हटाकर नई की मैन्युअली इंपोर्ट करनी होगी।
- यह घटना बड़े 'ChainDrop' npm सप्लाई चेन अटैक के एक हफ्ते से भी कम समय बाद हुई है, जिसमें 452 से अधिक पैकेजों के 2,251 वर्जन कंप्रोमाइज हुए थे।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What was the Mozilla Firefox and Thunderbird GPG signing key incident reported on August 10, 2026, including how the private key subkey was. Article summary: Now I have the primary Mozilla source. Let me also verify the keyv supply chain attack detailsOn **August 10, 2026**, Mozilla disclosed that it had accidentally committed an **unencrypted copy of a GPG private signing su. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
10 अगस्त 2026 को Mozilla ने एक गंभीर सुरक्षा चूक का खुलासा किया। कंपनी ने बताया कि Firefox और Thunderbird के Linux आर्टिफैक्ट्स (जैसे tarballs, RPM पैकेज, और checksum फाइल्स) पर हस्ताक्षर करने के लिए इस्तेमाल होने वाली एक GPG प्राइवेट सबकी (GPG private signing subkey) की एक अनएन्क्रिप्टेड कॉपी गलती से एक प्राइवेट GitHub रिपॉजिटरी में कमिट कर दी गई थी । यह रिपॉजिटरी केवल Mozilla के एक छोटे से समूह के लिए सुलभ थी, लेकिन सबकी को पासफ्रेज़ प्रोटेक्शन के बिना स्टोर किया गया था ।
Mozilla की जांच में क्या पता चला?
Mozilla ने उपलब्ध ऑडिट रिकॉर्ड्स की समीक्षा की और पाया कि इस बात का कोई सबूत नहीं है कि जब तक की रिपॉजिटरी में थी, तब तक किसी अनधिकृत पार्टी ने उस तक पहुंच बनाई हो । रिपॉजिटरी तक पहुंच उन्हीं लोगों तक सीमित थी, जिनके पास पहले से ही अन्य माध्यमों से की तक अधिकृत पहुंच थी । Mozilla ने किसी वास्तविक सप्लाई चेन अटैक (जैसे, हमलावरों द्वारा दुर्भावनापूर्ण साइन किए गए इंस्टॉलर वितरित करना) के जोखिम को कम आंका ।
Mozilla द्वारा उठाए गए कदम
-
की को रिवोक करना: Mozilla ने समझौता की गई की को रीज़न कोड 2 के साथ रिवोक कर दिया, जिसका GPG/OpenPGP स्पेसिफिकेशन में अर्थ है "की मटेरियल से समझौता हो गया है" (
KEY_COMPROMISE) । -
नई सबकी जारी करना: एक नई GPG साइनिंग सबकी जारी की गई जिसका फिंगरप्रिंट है:
827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3यह सबकी 5 अगस्त 2028 तक वैध है । पैरेंट की का फिंगरप्रिंट
14F2 6682 D091 6CDD 81E3 7B6D 61B7 B526 D98F 0353है । -
सुरक्षा उपाय: Mozilla ने भविष्य में ऐसी आकस्मिक कमिट को रोकने के लिए आंतरिक सुरक्षा उपाय जोड़े ।
-
रिवोकेशन का प्रभाव: GPG रिवोकेशन स्थायी होते हैं, इसलिए पुरानी की से साइन की गई फाइलें वेरिफाई करना बंद कर देती हैं, भले ही वे पुराने डाउनलोड हों ।
किन लिनक्स यूजर्स को कार्रवाई करनी होगी?
अधिकांश यूजर्स के लिए कोई कार्रवाई आवश्यक नहीं है। Mozilla का आधिकारिक मार्गदर्शन कहता है: "अधिकांश उपयोगकर्ताओं के लिए किसी कार्रवाई की आवश्यकता नहीं है" । ऑटोमेटिक अपडेट मैकेनिज्म की ट्रांज़िशन को पारदर्शी तरीके से संभाल लेते हैं।
निम्नलिखित समूहों के लिए मैन्युअल कार्रवाई आवश्यक है:
| परिदृश्य | आवश्यक कार्रवाई |
|---|
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"Mozilla ने Firefox GPG साइनिंग की को रिवोक किया: GitHub पर लीक हुई प्राइवेट की, नई की जारी" का संक्षिप्त उत्तर क्या है?
10 अगस्त 2026 को Mozilla ने खुलासा किया कि Firefox और Thunderbird के Linux आर्टिफैक्ट्स के लिए इस्तेमाल होने वाली एक अनएन्क्रिप्टेड GPG प्राइवेट सबकी गलती से एक प्राइवेट GitHub रिपॉजिटरी में कमिट हो गई थी।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
10 अगस्त 2026 को Mozilla ने खुलासा किया कि Firefox और Thunderbird के Linux आर्टिफैक्ट्स के लिए इस्तेमाल होने वाली एक अनएन्क्रिप्टेड GPG प्राइवेट सबकी गलती से एक प्राइवेट GitHub रिपॉजिटरी में कमिट हो गई थी। Mozilla की जांच में कोई अनधिकृत पहुंच नहीं मिली, फिर भी की को रिवोक कर दिया गया और एक नई सबकी जारी की गई, जो 5 अगस्त 2028 तक वैध है।
मुझे अभ्यास में आगे क्या करना चाहिए?
Fedora 42 और उससे पुराने, RHEL, Rocky Linux, AlmaLinux, openSUSE और SUSE यूजर्स को पुरानी की को हटाकर नई की मैन्युअली इंपोर्ट करनी होगी।