Apple heeft het probleem met de eMudhra-certificaten op 17 oktober gemeld gekregen. Tien dagen later vertrouwden de ontwikkeltools die het bedrijf met macOS levert de certificaten nog steeds. Het gaat onder meer om git, curl en python3.
Ook macOS 27.2, dat op 26 oktober verscheen, bevatte geen oplossing. De update maakte bovendien een handmatige beveiligingsmaatregel ongedaan. Gebruikers die de betreffende certificaten eerder zelf hadden verwijderd, konden daardoor opnieuw kwetsbaar zijn.
Risico voor ontwikkelaars
De certificaten kunnen worden gebruikt om HTTPS-verbindingen te onderscheppen. Bij git kunnen aanvallers daardoor verkeer tussen een computer en een externe repository manipuleren. Een kloon- of pullopdracht via een https://-verbinding kan dan aangepaste code ophalen, terwijl wijzigingen tijdens een push kunnen worden veranderd.
Ook inloggegevens, zoals GitHub-tokens, kunnen worden onderschept. Het risico geldt niet alleen voor GitHub, maar voor alle HTTPS-gitverbindingen die via de getroffen certificaatketen lopen. Curl, python3 en andere ontwikkelprogramma's van Apple kunnen op vergelijkbare wijze worden misbruikt.
Een eenvoudige controle is mogelijk met git ls-remote https://git-emudhra.we-have-a-problem.com/check.git. Verschijnt een certificaatfout, dan weigert git de verbinding. Wordt wel een commit getoond, dan vertrouwt de lokale installatie het gecompromitteerde certificaat nog.
Apple heeft Safari en andere toepassingen die gebruikmaken van zijn eigen netwerkframework al beschermd. Voor de ontwikkeltools moet het bedrijf nog een aparte oplossing uitbrengen, bijvoorbeeld door de getroffen hoofdcertificaten uit /etc/ssl/cert.pem te verwijderen.
Tijdelijke maatregel
Ontwikkelaars kunnen de getroffen certificaten handmatig uit het certificaatbestand verwijderen. Apple waarschuwt dat macOS-updates zo'n aanpassing kunnen terugdraaien. Daarom moeten gebruikers na iedere update opnieuw controleren of de certificaten zijn verwijderd en de maatregel zo nodig herhalen.
Beheerders van beveiliging en ontwikkelinfrastructuur moeten daarnaast nagaan of macOS-computers in continuous-integrationomgevingen of andere bouwsystemen worden gebruikt. Daar kan een onderschepte verbinding gevolgen hebben voor software die automatisch wordt gebouwd of gepubliceerd.
