今天(3月4日)起，由于域驗證和發布軟件中的一個錯誤，Let’s Encrypt將吊銷近300萬個證書。日前，Let’s Encrypt已經向受影響的客戶發郵件告知，以便其及時地更新。

發送給受影響用戶的電子郵件

2 月底的時候，Let’s Encrypt發現其證書頒發機構(CA)中的軟件漏洞導致某些證書不能通過為關聯域配置的證書頒發機構授權(CAA)正確驗證。

漏洞

CAA是一項安全功能，允許域管理員創建DNS記錄，該記錄使得網站所有者，僅授權指定CA機構為自己的域名頒發證書，以防止HTTPS證書錯誤簽發。并且，當局必須在頒發證書不超過8小時前，檢查CAA記錄。

Let’s Encrypt的CA軟件——Boulder中的漏洞導致多域證書上的一個域被多次檢查，而不是證書上的所有域都被一次檢查。這意味著，在某些域沒有被驗證的情況下，頒發了證書。

那么，假設一個訂閱者驗證了一個域名，并且該域名被允許加密發布，即使某些域名是不符合Let’s Encrypt的CAA記錄，該訂閱者也能夠正常發布包含該域名的證書，直到30天后。

因此，為了避免業務中斷，從今天起，Let’s Encrypt將加密撤銷高達3048289個當前有效的證書，占其約1.16億有效證書總數的2.6%。

建議相關用戶盡快更換受影響的證書，否則網站訪客會看到一個與證書失效有關的安全警告。

如果需要檢查域名是否受此漏洞影響并且需要更新，可以在https://checkhost.unboundtest.com/上了解。輸入域名后，頁面就會顯示該域名是否受到影響。