將t.tt 域名高價賣給錘子科技而成名的域名投資人郭秀峰（aka Showfom）9月24日在 Mozilla 安全政策郵件組發(fā)文稱他通過向 Comodo 申請 “www.sb” 域名的 Positive SSL 證書拿到了以 “sb” 頂級域名作為 dNSName 的證書。根據(jù)9月26日 Comodo 發(fā)布的報告，這是由于其系統(tǒng)在驗證了 WWW 子域名（例如 “www.example.com”）所有權(quán)后會判斷 “example.com” 同樣為申請人所有。

       Comodo 稱僅 WWW 子域名受到這一待遇，且根據(jù) CA/B 論壇的規(guī)章（Baseline Requirements, BRs）第3.2.2.4 節(jié)第 7 條這一判斷方式是合規(guī)的。然而在幾周前 Comodo 在巡查中發(fā)現(xiàn)另一張簽發(fā)給 “www.tc” 的域名證書的 dNSName 同樣包含 “tc”（“www.tc” 二級域名與 “tc” 頂級域名屬于同一實體）。

       鑒于該實現(xiàn)的特殊性，Comodo 判斷此漏洞“非緊急”，并準備于下一次定期維護中修復(fù)，而郭秀峰正是利用這一時間差成功誘使 Comodo 簽發(fā)頂級域名證書的。9月24日當天 Comodo 已緊急部署補丁修復(fù)了該問題。涉事證書并非 “*.sb” 泛域名證書，僅可用于 “sb” 本身，根據(jù)域名規(guī)則事實上無法使用。