Mac 內建 git、curl 仍信任 eMudhra 外洩證書 macOS 27.2 還原用戶修補

Mac 內建開發工具仍信任外洩證書

用 Mac 終端機寫程式的開發者，連線仍可能被人攔截。Apple 10 月 17 日已獲通報印度證書機構 eMudhra 的私鑰外洩事件，但追蹤事件的公開通報網站 10 月 28 日指，macOS 內建的 git、curl 及 python3 至今仍然信任相關證書。

通報網站又指，Apple 10 月 26 日推出的 macOS 27.2 不但沒有修正問題，更把用戶自行套用的修補還原，令他們再次暴露於風險之中。網站同時指，數十個其他項目早已推出修正，其中不少由義工維護。

Safari 已封鎖，終端機未有

據 Apple 支援文件，Apple 自 10 月 19 日起在裝置上封鎖 12 張受影響的證書，10 月 23 日再封鎖 emSign ECC Root CA - G3 根證書。Safari、Mail 及使用 Apple 網絡框架的應用程式會自動生效，毋須安裝更新。

問題出在另一層。macOS 及 Xcode Command Line Tools 內建的 curl、git、python3、ruby、perl 及 openssl，是根據 /etc/ssl/cert.pem 這個檔案判斷證書是否可信，不會參考 Apple 的封鎖名單，也不會檢查證書是否已被撤銷。Apple 表示會在「日後的軟件更新」更新這個檔案，但未有提供日期。

攻擊者可冒充 GitHub

通報網站指，與受影響電腦處於同一網絡路徑的人，可以攔截這些工具的任何 HTTPS 連線。以 git 為例，從 GitHub 複製程式庫時可能收到攻擊者選定的程式碼，推送的內容可被竄改，GitHub 存取權杖等憑證亦可能被截取。網站提供測試指令，讓用戶檢查自己的 git 有否受影響。

事件源於 eMudhra 八條中繼證書機構私鑰可被推算。安全研究員 Scott Helme 從公開證書還原全部私鑰，用時不足一秒，詳情見早前報道。Microsoft 已於 10 月 26 日把相關證書移出 Windows 信任清單。

用戶可自行移除

Apple 的支援文件列出手動步驟，讓管理員從 /etc/ssl/cert.pem 移除相關根證書。德國科技媒體 heise 建議用戶先檢查電腦是否受影響。Apple 提醒，macOS 更新可能會以原版檔案取代修改，在包含修正的更新推出前，每次更新後都要重新檢查及修補。通報網站亦建議保安團隊檢查 CI 等建置系統有否使用 macOS 機器。

來源

• Apple's git still trusts the compromised eMudhra certificates（eMudhra 事件通報網站）
• About the compromised eMudhra intermediate CAs（Apple Support）
• eMudhra TLS leak: Apple leaves macOS command-line issue unresolved（heise online）