Pierwsza beta systemu macOS 27.3 Golden Gate wprowadza istotną poprawkę bezpieczeństwa, która eliminuje zagrożenie związane z certyfikatami internetowymi firmy eMudhra. Problem dotyczy przede wszystkim narzędzi uruchamianych z poziomu Terminala, które mogły nadal akceptować potencjalnie niebezpieczne certyfikaty. Apple planuje udostępnić odpowiednią poprawkę wszystkim użytkownikom komputerów Mac jeszcze przed premierą finalnej wersji macOS 27.3.

W udostępnionej deweloperom pierwszej wersji beta macOS 27.3 Apple wprowadziło zmianę uniemożliwiającą narzędziom wiersza poleceń korzystanie z certyfikatów indyjskiej firmy eMudhra, których bezpieczeństwo zostało zakwestionowane w październiku. Poprawka polega na usunięciu problematycznych certyfikatów z systemowego pliku /etc/ssl/cert.pem, zawierającego zestaw zaufanych certyfikatów wykorzystywanych między innymi przez narzędzia działające w Terminalu.

Problem został wykryty w ubiegłym miesiącu przez badacza bezpieczeństwa, który odkrył, że klucze prywatne powiązane z ośmioma certyfikatami pośrednich urzędów certyfikacji firmy eMudhra były wyjątkowo słabe. Mogło to umożliwić cyberprzestępcom podszywanie się pod legalne strony internetowe, a w konsekwencji przechwytywanie poufnych informacji użytkowników. Dotychczas nie znaleziono jednak dowodów wskazujących na wykorzystanie tej podatności do przeprowadzenia rzeczywistych ataków.

Apple zareagowało na odkryte zagrożenie już 19 października, automatycznie blokując wadliwe certyfikaty TLS w Safari, Mail oraz innych aplikacjach korzystających z systemowych mechanizmów sieciowych i zabezpieczeń. Zmiany zostały wprowadzone na wszystkich platformach Apple i nie wymagały instalowania aktualizacji systemu. Oznacza to, że zdecydowana większość użytkowników jest już chroniona przed potencjalnym zagrożeniem.

Pozostał jednak problem narzędzi wiersza poleceń, które mogły nadal korzystać z niebezpiecznych certyfikatów. Właśnie tę lukę eliminuje najnowsza beta macOS 27.3.

Finalna wersja macOS 27.3 ma zostać udostępniona w grudniu. Apple prawdopodobnie wyda jednak wcześniej niewielką aktualizację macOS 27.2.1, zawierającą tę samą poprawkę bezpieczeństwa. Użytkownicy, którzy nie chcą czekać na aktualizację, mogą również samodzielnie usunąć problematyczne certyfikaty, korzystając z instrukcji opublikowanych przez Apple w dokumencie pomocy technicznej.

Źródło: MacRumors