macOS 27.3 закриває вразливість у сертифікатах eMudhra
Apple додала в macOS 27.3 захист від скомпрометованих вебсертифікатів eMudhra для інструментів командного рядка.
Перша бета-версія macOS 27.3 для розробників отримала виправлення безпеки, яке не дозволятиме інструментам командного рядка приймати скомпрометовані вебсертифікати індійської компанії eMudhra. Як повідомляє MacRumors, оновлення видаляє уражені сертифікати з файлу /etc/ssl/cert.pem.
Публічний реліз macOS 27.3 очікується у грудні. Водночас Apple, імовірно, раніше випустить macOS 27.2.1 із таким самим виправленням. Користувачі, які не хочуть встановлювати оновлення, можуть вручну видалити відповідні сертифікати з /etc/ssl/cert.pem, дотримуючись інструкцій у документі підтримки Apple.
Кого стосується виправлення
Проблема актуальна для тих, хто використовує інструменти командного рядка через Terminal або подібні програми. За даними Apple, користувачі, які не працюють із такими інструментами, вже повністю захищені.
Компанія також заявила, що з 19 жовтня автоматично блокує скомпрометовані TLS-сертифікати eMudhra у Safari, Mail та інших програмах, які використовують її мережеві й безпекові фреймворки. Це обмеження діє на всіх програмних платформах Apple і не потребує встановлення оновлень.
Що відомо про сертифікати
Минулого місяця дослідник безпеки виявив слабкі приватні криптографічні ключі, пов’язані з вісьмома сертифікатами проміжного центру сертифікації eMudhra. Такі ключі потенційно могли дозволити зловмисникам видавати себе за легітимні вебсайти та поставити під загрозу конфіденційну інформацію користувачів.
Водночас доказів того, що ці ключі використовувалися зловмисно, наразі не виявлено.
