Bug 26904

Summary:	distrusted certificates are included in ca-bundle.crt
Product:	Sisyphus	Reporter:	Sergey Vlasov <vsu>
Component:	ca-certificates	Assignee:	Alexey Gladkov <legion>
Status:	CLOSED FIXED	QA Contact:	qa-sisyphus
Severity:	critical
Priority:	P3	CC:	egori, lakostis, lav, ldv, legion, rauty, sem
Version:	unstable	Keywords:	security
Hardware:	all
OS:	Linux
URL:	http://www.imperialviolet.org/2012/01/30/mozillaroots.html

Description

Sergey Vlasov 2012-02-07 23:14:47 MSK

В certdata.txt из Mozilla встречаются сертификаты с явным запретом доверия к ним (например, сертификаты DigiNotar). Текущая версия скрипта ca-bundle.pl не проверяет флаги доверия, в результате в ca-bundle.crt попадают и те сертификаты, которым нельзя доверять.

https://github.com/agl/extract-nss-root-certs - якобы правильный способ получения списка сертификатов в формате PEM, но, к сожалению, программа там написана на Go.

Comment 1

Repository Robot 2012-02-08 02:53:03 MSK

ca-certificates-2012.01.17-alt1 -> sisyphus:

* Wed Feb 08 2012 Dmitry V. Levin <ldv@altlinux> 2012.01.17-alt1
- mozilla/certdata.txt: updated to revision 1.81.
- Filtered out untrusted certs from mozilla bundle (closes: #26904).

Comment 2

Dmitry V. Levin 2012-02-08 02:54:57 MSK

Да, ca-bundle.pl уже устарел.  Сейчас я взял вместо него
https://raw.github.com/bagder/curl/master/lib/mk-ca-bundle.pl
и допилил до нужд этого пакета.

Спасибо!