Git в macOS всё ещё доверяет скомпрометированным сертификатам eMudhra
Изображение: OpenAI
Обновление macOS 27.2 от 26 октября не избавило встроенный в систему Git от доверия к скомпрометированным сертификатам удостоверяющего центра eMudhra и отменило ручное исправление, которое пользователи применили сами. Об этом сообщили авторы сайта, посвящённого инциденту с eMudhra. Apple уведомили об инциденте 17 октября.
Для атаки злоумышленнику нужна возможность перенаправлять трафик между пользователем и сервером. Тогда он может подменять код при клонировании репозитория или получении изменений через HTTPS. Подменить можно и отправляемые в репозиторий данные, а учётные данные, включая токены GitHub, могут попасть к атакующему.
По состоянию на 28 октября проблема сохранялась в инструментах, которые Apple поставляет с macOS: git, curl и python3.
Safari и другие приложения на базе сетевого фреймворка Apple компания уже защитила. Десятки других проектов также успели выпустить исправления.
До выхода исправления авторы сайта предлагают вручную удалить затронутые корневые сертификаты из /etc/ssl/cert.pem. Согласно рекомендациям Apple, обновления macOS могут отменять такие изменения, поэтому после каждого обновления нужно заново проверять защиту и при необходимости повторять исправление. Командам ИБ также рекомендуют проверить, используют ли они macOS для запуска CI или в другой инфраструктуре сборки, и оценить риск для цепочки поставок ПО.
