Universität Bamberg
Suche öffnen
Sie befinden sich hier:

Service-Einrichtungen

IT-Service der Universität

  1.  Otto-Friedrich-Universität Bamberg
  2. Organe und Einrichtungen
  3. Service-Einrichtungen
  4. IT-Service der Universität
  5. Zertifikatsproblem eMudhra: Bitte pip, certifi, uv und Zertifikatsspeicher aktualisieren – betrifft vor allem Python-Nutzende

Zertifikatsproblem eMudhra: Bitte pip, certifi, uv und Zertifikatsspeicher aktualisieren – betrifft vor allem Python-Nutzende

Hintergrund

Schlüssel von acht Zwischenzertifizierungsstellen des Anbieters eMudhra wurden mit zu wenig Zufall erzeugt. Damit lassen sich gültig erscheinende HTTPS-Zertifikate für beliebige Websites fälschen und damit Man-in-the-Middle-Angriffe oder die Identität eines Dienstes übernehmen/imitieren. Missbrauch ist bislang nicht bestätigt.

Während die großen Webbrowser die Zertifikate bereits über automatisierte Sperrlisten blockieren, besteht ein erhöhtes Risiko für Anwendungen, Server-Dienste und Entwicklungs-Frameworks. 
Gefährdet sind z. B. bei Python ausgehende Verbindungen, etwa wenn pip Pakete lädt oder ein Programm eine Schnittstelle aufruft. 

Es werden keine Dienste gesperrt, die Updates sind aber zeitnah erforderlich.

Maßnahmen für Python

  • pip ≥ 26.2.2, certifi ≥ 2026.10.19, uv ≥ 0.13.5 – auch in jeder virtuellen Umgebung einzeln.
  • Neu angelegte venvs enthalten zunächst wieder das alte pip: danach immer „pip install --upgrade pip certifi“.
  • Paket ca-certificates aktualisieren; Java und Go haben eigene Zertifikatsspeicher.

Maßnahmen für Java

Siehe https://openjdk.org/emudhra

Weitere Prüfmaßnahmen

  • In jeder genutzten virtuellen Umgebung sowie in CI- und Laufzeit-Containern (z. B. in GitLab) sollte mindestens pip 26.2.2, certifi 2026.10.19 und uv 0.13.5 eingesetzt werden – sofern diese Komponenten dort genutzt werden
  • ca-certificates-Versionen müssen ggf. separat aktualisiert werden.
  • Falls für ein Projekt eigene Zertifikate betrieben werden, zusätzlich prüfen, ob deren Zertifikatsketten über betroffene eMudhra-Zwischenzertifikate laufen.
  • Einige andere Bibliotheken nutzen ggf. ebenfalls weder den Trust Store des Systems noch ca-Bundles, sondern eigene Zertifikatsdateien, die z. B. für TLS-Verbindungen verwendet werden, sofern kein anderer Trust Store vorgegeben ist. Ggf. müssen daher weitere Komponenten geprüft und aktualisiert werden.
  • Für weitere Prüfhinweise siehe z. B. https://www.endorlabs.com/learn/emudhra-intermediate-ca-compromise-the-trust-stores-you-patched-and-the-ones-you-didnt-know-you-had

Übersicht über aktualisierte Versionen

  • Python certifi:   2026.10.19
  • Node.js:   26.12.1 , 24.22.1 und 22.23.4
  • Go:   1.27.3 und 1.26.10
  • NSS:   3.131.1
  • Rust webpki-roots:   1.0.10
  • Homebrew ca-certificates:   2026-09-25_1
  • Composer ca-bundle:   1.6.0 und 1.4.16
  • Ubuntu ca-certificates:   USN-8944-1 (22.04 to 26.10) und USN-8944-2 (14.04 to 20.04)
  • Debian ca-certificates:   DSA-6572-1 , 20250419+deb13u1 für Debian 13 

Siehe auch: https://thehackernews.com/2026/10/eight-emudhra-ca-keys-compromised.html

Quellen