Die erste Entwickler-Beta von macOS 27.3 verhindert, dass Kommandozeilen-Tools kompromittierte TLS-Zertifikate akzeptieren, die von eMudhra ausgestellt wurden. Dazu entfernt sie die betroffenen Zertifikate aus der Datei /etc/ssl/cert.pem.
Apple wird macOS 27.3 voraussichtlich erst im Dezember öffentlich veröffentlichen. Ein Update auf macOS 27.2.1 dürfte laut den vorliegenden Informationen früher mit derselben Sicherheitskorrektur erscheinen.
Mac-Nutzer, die nicht aktualisieren möchten, können die Zertifikate manuell aus /etc/ssl/cert.pem entfernen, indem sie Apples Support-Anweisungen befolgen. Wer Terminal oder ähnliche Anwendungen nicht für Kommandozeilen-Tools nutzt, ist bereits geschützt.
Apple hat die kompromittierten Zertifikate seit dem 19. Oktober in Safari, Mail und anderen Apps blockiert, die auf seinen Netzwerk- und Sicherheits-Frameworks auf seinen Softwareplattformen basieren. Dieser Schutz wird automatisch angewendet und erfordert kein Softwareupdate, sodass die meisten Nutzer nichts unternehmen müssen.
Das Problem wurde bekannt, nachdem ein Sicherheitsforscher festgestellt hatte, dass die privaten kryptografischen Schlüssel zu acht Zwischenzertifikaten der Zertifizierungsstelle von eMudhra zu schwach waren. Die Schlüssel hätten Angreifern ermöglichen können, sich als legitime Websites auszugeben und möglicherweise vertrauliche Informationen offenzulegen. Bislang gibt es keine Hinweise auf einen böswilligen Einsatz.
Quellen: MacRumors.