推广
推广
#安全资讯 亚洲诚信旗下的免费通配符数字证书颁发机构 LiteSSL 出现安全漏洞会泄露已经成功签发的证书，目前受影响到 143 份证书已经被吊销。该问题影响 12 月 29 日及之后签发的证书，如果你曾在该日期后通过 LiteSSL 签发过证书，建议立即检查证书状态防止因为吊销而出现无法连接。查看全文：https://ourl.co/111586
亚洲诚信 (TrustAsia) 旗下的免费通配符数字证书签发机构 LiteSSL 日前被发现安全漏洞，不过在本文发布时漏洞已经修复，受影响的 143 份异常数字证书目前也已经被亚洲诚信吊销。
LiteSSL 使用 ACME 基础签发证书，网友 00oo00 发现该证书签发机构非常容易报错，报错内容为 IP 10.254.14.70 出现太多请求，到这里就可以发现后端服务器的配置存在错误。
这个 IP 地址实际是内部服务器地址，因此 LiteSSL 在配置获取客户机真实 IP 地址方面存在问题，而是将内部反代服务器的 IP 地址当成客户机 IP 地址，这导致任意请求实际都是通过内部 IP 地址发出，因而产生速率限制问题。
其次该机构同样使用 DNS-01 挑战来验证域名所有权，但 LiteSSL 配置的挑战缓存有效期似乎比较长，并且也没有验证签发请求是否来自相同的 ACME 证书，这直接导致用户可以随意盗签其他人使用 DNS-01 签发的证书。
例如网友测试时随便找了个带有通配符域名的证书，然后就可以使用自己的 LiteSSL ACME 账户重新签发证书，整个过程不会触发重新验证，盗取的证书用来发起 MiTM 中间人劫持。
亚洲诚信在看到消息后也负责任地在 Bugzilla 上披露此次安全问题并列出所有受影响的数字证书信息，合计共有 143 份证书受影响，目前这些证书已经被吊销。
对于内部问题目前亚洲诚信也已经进行修复，现在 LiteSSL 可以继续签发通配符域名证书不会再受到漏洞影响，需要此类证书的用户可以重新验证并申请证书。
下面是亚洲诚信披露的时间线：
2026 年 1 月 21 日 14:55：亚洲诚信内部合规团队收到 V2EX 网友的安全报告
2026 年 1 月 21 日 15:10：经过调查后亚洲诚信初步确认该问题并立即暂停 ACME 签发服务
2026 年 1 月 21 日 15:30：确认使用 ACME 协议签发的证书存在的问题及影响范围，调查受影响的证书
2026 年 1 月 21 日 15:33：启动社区报告中提到的两份证书的撤销程序，对问题证书进行吊销
2026 年 1 月 21 日 21:00：完成内部系统问题的修复，在测试环境中完成验证
2026 年 1 月 21 日 21:21：已识别所有受影响的证书并启动批量吊销
2026 年 1 月 21 日 21:30：已识别 140 个受影响且有效的证书，其余 3 份证书此前被吊销
2026 年 1 月 21 日 21:41：将修复后的代码部署到生产环境
2026 年 1 月 21 日 22:35：将生产环境中所有 ACME 授权状态重置，要求客户重新验证
2026 年 1 月 21 日 22:50：完成生产环境的内部验证并在随后重新启动 ACME 证书签发服务
亚洲诚信称后续将发布最终调查报告，也就是可能包含配置失误的问题代码以及事件发生缘由，作为证书签发机构此类问题具有致命性影响，所幸此次事件还未造成非常严重的影响。
另外根据调查此次问题影响 2025 年 12 月 29 日之后签发的证书，如果您曾在该日期后通过 LiteSSL 签发过数字证书，建议立即检查证书状态，防止因为被吊销后网站或服务无法正常连接。