La première bêta développeur de macOS 27.3 empêche les outils en ligne de commande d’accepter des certificats TLS compromis émis par eMudhra. Pour ce faire, elle supprime les certificats concernés du fichier /etc/ssl/cert.pem.
Apple ne devrait pas publier macOS 27.3 avant décembre. Selon les informations fournies, une mise à jour macOS 27.2.1 devrait arriver plus tôt et inclure le même correctif de sécurité.
Les utilisateurs de Mac qui ne souhaitent pas effectuer la mise à jour peuvent supprimer manuellement les certificats du fichier /etc/ssl/cert.pem en suivant les instructions d’assistance d’Apple. Ceux qui n’utilisent pas les outils en ligne de commande via Terminal ou des applications similaires sont déjà protégés.
Depuis le 19 octobre, Apple bloque les certificats compromis dans Safari, Mail et les autres applications qui s’appuient sur ses frameworks réseau et de sécurité, sur l’ensemble de ses plateformes logicielles. Cette protection est appliquée automatiquement et ne nécessite pas de mise à jour logicielle ; la plupart des utilisateurs n’ont donc aucune mesure à prendre.
Le problème a été découvert après qu’un chercheur en sécurité a constaté que les clés cryptographiques privées associées à huit des certificats d’autorité de certification intermédiaires d’eMudhra étaient faibles. Ces clés auraient pu permettre à des attaquants d’usurper l’identité de sites Web légitimes et d’exposer potentiellement des informations sensibles. Aucun élément attestant d’une utilisation malveillante n’a été découvert à ce jour.
Sources: MacRumors.