In questo articolo Indice dei contenuti 2 sezioni
macOS riceve nuovi aggiornamenti che chiudono una falla di sicurezza legata a certificati eMudhra compromessi, un tema che era già stato affrontato in parte nelle scorse settimane con blocchi mirati in Safari, Mail e altre app. Apple aveva iniziato a intervenire già il 19 ottobre, con ulteriori protezioni arrivate il 23 ottobre, sfruttando aggiornamenti automatici di configurazione dei certificati. In pratica non serviva installare subito un update completo di macOS per ottenere una prima copertura. Il punto, però, era che quella protezione non arrivava ovunque, perché alcune utility a riga di comando continuavano ad accettare i certificati coinvolti.
MacOs: che cosa è successo con i certificati eMudhra e dove restava il buco
Tutto parte da una segnalazione di Mozilla, che alcune settimane fa ha indicato la compromissione delle chiavi private di otto autorità di certificazione intermedie gestite da eMudhra, azienda indiana attiva nella certificazione digitale. Questi certificati servono a stabilire una catena di fiducia per i certificati digitali, quelli che verificano l’identità di un sito e permettono connessioni sicure.
Quando chiavi private di questo tipo finiscono nelle mani sbagliate, il rischio non è teorico. Con l’accesso a quelle chiavi, soggetti malevoli potrebbero creare certificati fraudolenti che sembrano legittimi, con la possibilità di impersonare siti web e intercettare informazioni sensibili. Da qui la scelta di Apple di bloccare automaticamente i certificati interessati in Safari, Mail e nelle app che usano i framework di rete e sicurezza di Apple.
Il problema era un altro, più sottile ma concreto. Le misure iniziali non coprivano l’intero sistema, perché alcuni strumenti da linea di comando, tra cui curl e git, potevano ancora accettare i certificati compromessi. A quel punto Apple aveva pubblicato un documento di supporto con istruzioni per gli amministratori, chiedendo un intervento manuale per tappare la parte di falla rimasta scoperta, con la promessa di una correzione in un aggiornamento futuro di macOS. Ora quel documento è stato aggiornato per confermare che la correzione è disponibile.
Gli aggiornamenti di macOS che risolvono il caso e cosa cambia nel sistema
Apple indica che macOS 27.2.1, macOS 26.7.3 e macOS 15.8.3, rilasciati oggi, impediscono agli strumenti a riga di comando coinvolti di accettare i certificati eMudhra compromessi. Questo passaggio elimina la necessità, per gli amministratori, di applicare ancora soluzioni manuali per chiudere la falla che era rimasta aperta dopo i blocchi iniziali.
Gli aggiornamenti non si limitano a questo. Apple spiega anche che vengono rimossi cinque certificati root CA dal percorso /etc/ssl/cert.pem, includendo tre ulteriori certificati eMudhra che non facevano parte della soluzione manuale proposta in precedenza. È un dettaglio che conta, perché chiarisce che la pulizia dell’elenco dei certificati non riguarda solo quanto era stato gestito nella prima fase.
Per chi non può installare subito gli ultimi aggiornamenti di sicurezza di macOS, Apple continua comunque a offrire indicazioni per intervenire manualmente nel documento di supporto. All’interno sono riportati anche i nomi e le impronte SHA 256 dei 12 certificati interessati e dei cinque certificati root CA rimossi dagli aggiornamenti.
C’è poi un’ultima nota operativa, molto concreta. Apple segnala che alcune app e alcuni strumenti includono un proprio elenco di certificati root CA e non usano né il blocco di Apple né /etc/ssl/cert.pem. In questi casi l’indicazione è di contattare lo sviluppatore delle app e degli strumenti in questione, perché la gestione dei certificati può seguire una strada separata rispetto a quella del sistema operativo.
Fonte: TecnoAndroid