Apple bloqueia certificados eMudhra comprometidos em ferramentas de linha de comando

Resumo

• A atualização do macOS remove certificados comprometidos da eMudhra do arquivo /etc/ssl/cert.pem, impedindo que ferramentas de linha de comando os aceitem.

  A medida fecha uma brecha que deixava algumas ferramentas de linha de comando aceitar certificados que poderiam ser usados para falsificar a identidade de sites.

• A Apple bloqueava os certificados comprometidos em Safari, Mail e outros apps que usam seus frameworks de rede e segurança desde 19 de outubro, sem exigir atualização de software.

  O bloqueio anterior já protegia esses aplicativos, mas não abrangia algumas ferramentas de linha de comando.

• Chaves privadas de oito certificados intermediários de autoridade certificadora da eMudhra foram comprometidas, possibilitando potencialmente a criação de certificados fraudulentos e a personificação de sites.

  A comprometimento poderia permitir ataques que enganassem usuários e expusessem informações sensíveis.

• O macOS 27.3 ainda estava em versão beta para desenvolvedores e não era esperado para lançamento público antes de dezembro; uma atualização macOS 27.2.1 poderia chegar antes com a mesma correção.

  As informações sobre o calendário indicavam que a correção poderia chegar primeiro por uma atualização intermediária.

Dados

Data em que a Apple passou a bloquear os certificados comprometidos da eMudhra

19 de outubro

Certificados intermediários comprometidos da eMudhra

oito certificados

Mês previsto para lançamento público do macOS 27.3

dezembro

Citações

• “Apple said it has been blocking eMudhra's compromised TLS web certificates since October 19 in Safari, Mail, and other apps that use Apple's networking and security frameworks”

  O bloqueio anterior já protegia esses aplicativos, mas não abrangia algumas ferramentas de linha de comando.

  — Apple, fabricante de sistemas e dispositivos · ver em MacRumors ↗