Mozilla hat in einem Blogbeitrag mitgeteilt, den für bestimmte Artefakte von Firefox und Thunderbird verwendeten GPG-Signatur-Unterschlüssel ersetzt zu haben. Auslöser war, dass eine unverschlüsselte Kopie des vorherigen Unterschlüssels versehentlich in ein privates GitHub-Repository gelangte.
Nach der Entdeckung des Vorfalls widerrief das Unternehmen den Schlüssel, der für Linux-Tarballs, RPM-Pakete und Prüfsummendateien eingesetzt wurde. Zugleich habe Mozilla Maßnahmen ergriffen, um ähnliche Probleme künftig zu verhindern.
Nach Darstellung des Unternehmens deuten die verfügbaren Audit-Daten nicht darauf hin, dass der Schlüssel während seiner Präsenz im Repository von Unbefugten abgerufen wurde. Mozilla verweist außerdem darauf, dass nur eine kleine Gruppe innerhalb des Unternehmens Zugriff auf das private GitHub-Repository hatte. Diese Personen hätten den Schlüssel bereits zuvor auf anderem Wege autorisiert nutzen können. Deshalb stuft Mozilla das Risiko eines Supply-Chain-Angriffs, bei dem Angreifer schädliche Installer mit dem offengelegten Schlüssel signieren könnten, als gering ein.
Für die meisten Nutzer hat die Schlüsselrotation laut Mozilla keine unmittelbaren Folgen. Anders sieht es bei Anwendern aus, die GPG-Signaturen manuell verifizieren: Sie müssen den neuen Signaturschlüssel sowie den Widerruf des bisherigen Schlüssels importieren.
Zusätzlich weist Mozilla darauf hin, dass Linux-Nutzer, die Firefox über RPM-Pakete installieren, ihre Systeme unter Umständen manuell aktualisieren müssen. Das Unternehmen hat dafür detaillierte Anleitungen veröffentlicht, unter anderem für Systeme mit Fedora 43 und neuer, Fedora 42 und älter, RHEL, Rocky, Almalinux sowie openSUSE- und SUSE-basierten Distributionen, damit weiterhin die neuesten Firefox-Updates bezogen werden können.
Für Thunderbird-Nutzer entfällt ein vergleichbarer Schritt bei RPM-Paketen, weil Thunderbird nach Angaben von Mozilla keine offiziellen RPM-Pakete bereitstellt.
Der neue Signatur-Unterschlüssel läuft am 5. August 2028 ab. Der neue öffentliche Schlüssel und der Widerruf des vorherigen Schlüssels stehen laut Mozilla über die aktuellen Firefox-Nightly-KEY-Dateien sowie über keys.openpgp.org bereit.