Исследователь Dennis Jackson 28 октября сообщил, что поставляемые Apple инструменты git, curl и python3 в macOS по-прежнему принимают скомпрометированные сертификаты eMudhra. По его данным, выпущенная 26 октября macOS 27.2 не исправила проблему и отменила ручное исправление, которое пользователи применяли ранее

Apple подтверждает компрометацию закрытых ключей восьми промежуточных удостоверяющих центров eMudhra. Шесть из них выпускали TLS-сертификаты: обладатель таких ключей может создавать сертификаты, выглядящие действительными для любого сайта. По сообщению Apple, eMudhra и Sectigo отозвали затронутые сертификаты

Для эксплуатации необходима возможность перехватывать сетевой трафик жертвы. Jackson предупреждает, что в случае Git это позволяет подменять код при клонировании и получении изменений через HTTPS, изменять отправляемые данные и перехватывать учётные данные, включая токены GitHub. В отчёте описан тест с сервером, выдающим себя за GitHub; сведений о реальных атаках на пользователей в нём нет

По данным Apple, блокировка опасных сертификатов в Safari, Mail и приложениях на её сетевых библиотеках действует с 19 октября. Однако некоторые консольные инструменты проверяют доверие по файлу /etc/ssl/cert.pem и для цепочек из этого хранилища не учитывают системную блокировку и отзыв сертификатов. Компания обещает обновить файл в будущем выпуске macOS

До выхода исправления Apple предлагает администраторам удалить из этого файла соответствующие корневые сертификаты по официальной инструкции. Это может нарушить проверку и некоторых незатронутых сайтов. Компания предупреждает, что обновление macOS способно восстановить файл: до выпуска исправления после обновлений нужно проверять результат и при необходимости повторять процедуру. Jackson также рекомендует оценить риск для сборочной инфраструктуры с машинами macOS

Первоисточник — we-have-a-problem.com