macOS 27.2.1 закрывает дыру с сертификатами eMudhra

Apple выпустила macOS 27.2.1 Golden Gate, а вместе с ней macOS 26.7.3 Tahoe и macOS 15.8.3 Sequoia. Главное в этих обновлениях: Mac перестаёт доверять скомпрометированным сертификатам индийского удостоверяющего центра eMudhra во всех программах, включая командную строку. Обновиться стоит всем, у кого Mac работает на одной из этих трёх систем.

Что случилось с eMudhra

Mozilla сообщила, что у восьми промежуточных центров сертификации eMudhra утекли закрытые ключи. По данным MacRumors, ключи оказались слабыми: их значения были меньше 256, и подобрать такой ключ легко. С ними злоумышленник мог выпускать поддельные сертификаты для любого сайта и перехватывать данные в защищённом соединении.

Apple блокировала эти сертификаты по частям. С 19 октября, а затем с 23 октября защита приходила автоматически, без обновления системы. Safari, «Почта» и приложения на системных сетевых фреймворках были закрыты. Командные инструменты вроде curl и git остались без защиты: они читают собственный список корневых сертификатов и продолжали доверять скомпрометированным.

Что меняет обновление

В macOS 27.2.1, 26.7.3 и 15.8.3 эти инструменты перестают принимать плохие сертификаты. Заодно из файла /etc/ssl/cert.pem удалены пять корневых сертификатов, в том числе три eMudhra, которых не было в первом ручном обходе Apple. Исправление есть и в бете macOS 27.3, но Apple не стала ждать декабрьского релиза.

Обычному пользователю делать больше ничего не нужно: откройте «Системные настройки → Основные → Обновление ПО» и установите свежую версию.

Если обновиться нельзя, Apple оставила в бюллетене безопасности ручную инструкцию: там перечислены 12 затронутых сертификатов и пять удалённых корневых. Программы со своим списком корневых сертификатов защита Apple не касается, поэтому Apple советует спросить об этом у разработчика.

Остальные исправления того же дня в Bluetooth, AirPlay и iMessage мы разбирали в новости об iOS 27.2.1. Случаев использования дыры eMudhra против пользователей Apple не называла.