Сегодняшние обновления macOS устраняют уязвимость, связанную с сертификатами eMudhra

Apple сегодня выпустила обновления macOS, закрывающие брешь в безопасности, связанную со скомпрометированными сертификатами eMudhra, — ранее, в октябре, компания уже заблокировала их в Safari, Mail и других приложениях. Подробности ниже.

Немного контекста

Несколько недель назад Mozilla сообщила, что закрытые ключи восьми промежуточных центров сертификации, которыми управляет индийская компания цифровой сертификации eMudhra, были скомпрометированы.

По сути, эти сертификаты служат для установления доверия к цифровым сертификатам, которые подтверждают подлинность сайтов и обеспечивают защищённые соединения.

Получив доступ к скомпрометированным закрытым ключам, злоумышленники потенциально могли бы создавать поддельные сертификаты, выглядящие как настоящие, что позволило бы им выдавать себя за сайты и перехватывать конфиденциальные данные пользователей.

В ответ на компрометацию Apple 19 октября начала автоматически блокировать затронутые сертификаты, а 23 октября ввела дополнительные меры защиты.

Эти изменения распространялись через автоматические обновления конфигурации сертификатов, поэтому для защиты пользователям не требовалось устанавливать обновление macOS.

Хотя эти меры защитили Safari, Mail и приложения, использующие сетевые фреймворки и фреймворки безопасности Apple, они не охватили всю macOS: некоторые инструменты командной строки, включая curl и git, по-прежнему могли принимать скомпрометированные сертификаты.

Тогда Apple опубликовала статью поддержки с инструкциями для администраторов по ручному устранению оставшейся уязвимости и пообещала исправление в одном из будущих обновлений macOS.

Сегодня Apple обновила документ, подтвердив, что исправление уже доступно.

Apple закрыла оставшуюся брешь, связанную с eMudhra

Как поясняет Apple, macOS 27.2.1, macOS 26.7.3 и macOS 15.8.3, выпущенные сегодня, не позволяют затронутым инструментам командной строки принимать скомпрометированные сертификаты, так что администраторам больше не нужно решать проблему вручную.

Обновления также удаляют пять корневых сертификатов ЦС из /etc/ssl/cert.pem, включая три дополнительных сертификата eMudhra, которые не входили в изначальное ручное решение Apple.

Тем не менее для пользователей, которые не могут установить последние обновления macOS, Apple по-прежнему приводит в своём документе поддержки инструкции по ручному устранению проблемы, а также названия и отпечатки SHA-256 12 затронутых сертификатов и пяти корневых сертификатов ЦС, удаляемых обновлениями.

Apple также отмечает, что «некоторые приложения и инструменты содержат собственный список корневых сертификатов ЦС и не используют блокировку Apple или /etc/ssl/cert.pem», и советует пользователям связаться с разработчиком таких приложений и инструментов.

Чтобы прочитать полный документ поддержки Apple, перейдите по этой ссылке.