A primeira versão beta para desenvolvedores do macOS 27.3 impede que ferramentas de linha de comando aceitem certificados TLS comprometidos emitidos pela eMudhra. Para isso, remove os certificados afetados do arquivo /etc/ssl/cert.pem.
A Apple não deve lançar publicamente o macOS 27.3 antes de dezembro. De acordo com as informações fornecidas, é provável que uma atualização do macOS 27.2.1 chegue mais cedo com a mesma correção de segurança.
Os usuários de Mac que não quiserem atualizar podem remover manualmente os certificados de /etc/ssl/cert.pem seguindo as instruções de suporte da Apple. Quem não usa ferramentas de linha de comando pelo Terminal ou por aplicativos semelhantes já está protegido.
Desde 19 de outubro, a Apple bloqueia os certificados comprometidos no Safari, no Mail e em outros aplicativos que dependem de suas estruturas de rede e segurança em suas plataformas de software. Essa proteção é aplicada automaticamente e não exige uma atualização de software, portanto, a maioria dos usuários não precisa fazer nada.
O problema veio à tona depois que um pesquisador de segurança descobriu que as chaves criptográficas privadas associadas a oito dos certificados intermediários de autoridade certificadora da eMudhra eram fracas. Essas chaves poderiam ter permitido que invasores se passassem por sites legítimos e potencialmente expusessem informações confidenciais. Até o momento, não há indícios de uso malicioso.
Fontes: MacRumors.