La prima beta per sviluppatori di macOS 27.3 impedisce agli strumenti da riga di comando di accettare certificati TLS compromessi emessi da eMudhra. Lo fa rimuovendo i certificati interessati dal file /etc/ssl/cert.pem.
Apple non dovrebbe rilasciare pubblicamente macOS 27.3 prima di dicembre. Secondo le informazioni fornite, è probabile che un aggiornamento a macOS 27.2.1 arrivi prima e includa la stessa correzione di sicurezza.
Gli utenti Mac che non vogliono aggiornare possono rimuovere manualmente i certificati da /etc/ssl/cert.pem seguendo le istruzioni di supporto di Apple. Chi non utilizza strumenti da riga di comando tramite Terminale o applicazioni simili è già protetto.
Dal 19 ottobre Apple blocca i certificati compromessi in Safari, Mail e altre app che si affidano ai suoi framework di rete e sicurezza sulle sue piattaforme software. Questa protezione viene applicata automaticamente e non richiede un aggiornamento software, quindi la maggior parte degli utenti non deve fare nulla.
Il problema è emerso dopo che un ricercatore di sicurezza ha scoperto che le chiavi crittografiche private associate a otto dei certificati di autorità di certificazione intermedie di eMudhra erano deboli. Le chiavi avrebbero potuto consentire agli aggressori di impersonare siti web legittimi e di esporre potenzialmente informazioni sensibili. Finora non sono emerse prove di utilizzi malevoli.
Fonti: MacRumors.