La primera beta para desarrolladores de macOS 27.3 impide que las herramientas de línea de comandos acepten certificados TLS comprometidos emitidos por eMudhra. Lo hace al eliminar los certificados afectados del archivo /etc/ssl/cert.pem.
No se espera que Apple publique macOS 27.3 hasta diciembre. Según la información proporcionada, es probable que antes llegue una actualización de macOS 27.2.1 con la misma solución de seguridad.
Los usuarios de Mac que no quieran actualizar pueden eliminar manualmente los certificados de /etc/ssl/cert.pem siguiendo las instrucciones de soporte de Apple. Quienes no utilicen herramientas de línea de comandos a través de Terminal o aplicaciones similares ya están protegidos.
Apple bloquea los certificados comprometidos en Safari, Mail y otras aplicaciones que dependen de sus marcos de trabajo de redes y seguridad en todas sus plataformas de software desde el 19 de octubre. Esa protección se aplica automáticamente y no requiere una actualización de software, por lo que la mayoría de los usuarios no necesita hacer nada.
El problema salió a la luz después de que un investigador de seguridad descubriera que las claves criptográficas privadas asociadas a ocho de los certificados de autoridad de certificación intermedios de eMudhra eran débiles. Las claves podrían haber permitido a los atacantes suplantar sitios web legítimos y, potencialmente, exponer información confidencial. Hasta el momento no han surgido pruebas de que se hayan utilizado con fines maliciosos.
Fuentes: MacRumors.