Entfernen kompromittierter eMudhra-Zertifikate aus HCL Notes-Clients mit MarvelClient

Daniel Nashed hat sich erneut für die HCL Notes/Domino-Community verdient gemacht. Nur wenige Tage, nachdem die Kompromittierung des eMudhra-CA-Schlüssels öffentlich bekannt wurde, veröffentlichte er zwei Beiträge, die jeder Domino-Administrator lesen sollte: Warum dies ein ernstes Sicherheitsproblem ist und wie man die betroffenen Zertifikate entfernt.

Wie so oft geht Daniel ausführlich auf die Serverseite ein, von „cacert.pem“ und dem JVM-Vertrauensspeicher bis hin zum Domino-Verzeichnis, und er stellt sogar eine LotusScript-Testschaltfläche zur Verfügung. Vielen Dank, Daniel, für die Zeit, die du investierst, um die Sicherheit unserer Community zu gewährleisten. Dieser Beitrag knüpft genau dort an, wo es knifflig wird: beim Notes-Client.

Am 17. Oktober 2026 berichteten Forscher, dass die privaten Schlüssel von acht eMudhra-Zwischenzertifizierungsstellen aus öffentlich zugänglichen Informationen rekonstruiert werden können, da sie mit extrem schwacher Zufälligkeit generiert wurden. Sechs dieser Zwischenzertifizierungsstellen stellen TLS-Zertifikate aus, zwei stellen Code-Signing-Zertifikate aus, und alle acht wurden unter der Stammzertifizierungsstelle „AAA Certificate Services“ (ursprünglich Comodo, heute Sectigo) kreuzsigniert.

Warum das wichtig ist: Wer auch immer im Besitz dieser Schlüssel ist, kann Zertifikate für praktisch jede Domain ausstellen. Ein Client, der der betroffenen Zertifikatskette weiterhin vertraut und keine Sperrungen durchsetzt, akzeptiert ein solches gefälschtes Zertifikat, was Man-in-the-Middle-Angriffe auf verschlüsselte Verbindungen ermöglicht.

Browser haben bereits Schutzmaßnahmen integriert. Viele andere TLS-Clients, darunter auch der Notes-Client, stützen sich auf ihre eigenen Vertrauensspeicher und sind davon nicht abgedeckt.

HCL hat zudem offizielle Anleitungen für Notes und Domino veröffentlicht. In KB0134844 werden die manuellen Schritte beschrieben, die bis zur Verfügbarkeit korrigierter Releases durchzuführen sind. Für den Notes-Client verfolgt HCL das Problem in zwei Sicherheitsbulletins: KB0134849 (CVE-2026-108015) behandelt die Funktionen für ausgehende Netzwerkanfragen des Clients, und KB0134848 (CVE-2026-91403, CVE-2026-114820) die mitgelieferte IBM Semeru JVM. HCL stuft beide als kritisch ein (CVSS 9,1), und beide betreffen Notes 12.0.2 FP8 und früher, 14.0 FP5 und früher sowie 14.5 bis einschließlich 14.5.1 FP1.

In Daniels Beiträgen und im HCL-Artikel KB0134844 ist alles aufgeführt, was ein Domino-Administrator auf dem Server überprüfen muss: „cacert.pem“ im Datenverzeichnis, der JVM-Trust-Store, das Domino-Verzeichnis und „certstore.nsf“. Je nach Trust-Store müssen mehrere Stammzertifikate entfernt werden. Wenn Sie nur einige davon entfernen, kann die Kette möglicherweise weiterhin über einen anderen Pfad aufgebaut werden.

Falls eMudhra-Zertifikate manuell zu diesen Repositorys oder zur Datei „certstore.nsf“ hinzugefügt wurden, empfiehlt HCL, diese zu entfernen oder zu ersetzen. „Notes on Mac“ nutzt den macOS-Schlüsselbund anstelle von „cacert.pem“; führen Sie daher dort die neuesten macOS-Updates durch. Tipp: Vergleichen Sie Zertifikate immer anhand des Fingerabdrucks und nicht anhand des Namens. In der Datei „cacert.pem“ erscheint beispielsweise die AAA-Stammzertifizierungsstelle unter der Überschrift „Comodo AAA Services root“, sodass eine Suche nach ihrem Subject keine Ergebnisse liefert.

Auf dem Client befindet sich dieselbe Datei „cacert.pem“ im Notes-Datenverzeichnis jedes einzelnen Arbeitsplatzrechners. Es gibt keine integrierte Möglichkeit, diese Datei auf Hunderten oder Tausenden von Clients zu entfernen. Wie Daniel selbst betont, ist dies ohne MarvelClient oder ähnliche Tools schwierig und würde andernfalls bedeuten, dass auf jedem Rechner benutzerdefiniertes LotusScript ausgeführt werden müsste.

MarvelClient deckt die Notes-spezifischen Speicherorte ab, an denen sich die betroffenen Stammordner befinden können:

Was das Betriebssystem selbst betrifft, verfügen die meisten Unternehmen bereits über etablierte Prozesse zur Verwaltung und Verteilung von Zertifikaten, beispielsweise für den Windows-Zertifikatsspeicher über die Clientverwaltung oder die Softwareverteilung. Technisch gesehen könnte MarvelClient Upgrade dies ebenfalls übernehmen, wir empfehlen jedoch, hier bei Ihren bestehenden Prozessen zu bleiben. Nutzen Sie MarvelClient und MarvelClient Upgrade überall dort, wo Administratorrechte erforderlich sind, für das, was sie am besten können: die Korrektur von Zertifikaten in und rund um Notes.

Gerne stellen wir den Agent jedem Kunden zur Verfügung. Senden Sie einfach eine E-Mail an support@panagenda.com, und wir senden Ihnen eine Container-Datenbank mit dem Agent sowie einen kurzen Guide zur schnellen Bereitstellung zu. Auf Wunsch führen wir Sie auch in einer kurzen praktischen Sitzung durch den Prozess.