Apple lansează beta macOS 27.3: corecție critică pentru certificatele compromise

Cum funcționează corecția de certificate?

Apple a publicat prima versiune beta pentru dezvoltatori a macOS 27.3. Actualizarea țintează o slăbiciune de securitate legată de certificate web compromise.

Corecția oprește uneltele din linia de comandă să încreadă certificatele nevalide ale e Mudhra. Modificarea elimină intrările afectate din depozitul de certificate al sistemului.

Slăbiciunea permitea utilitarelor din linia de comandă să accepte certificate care ar fi trebuit respinse.

Certificatele compromise ale e Mudhra erau încorporate în fișierul /etc/ssl/cert. pem. Acesta este pachetul implicit de certificate folosit de multe unelte Unix. Eliminarea acestor intrări închide golul.

Patch-ul șterge fizic blocurile de certificate compromise din fișierul de sistem. Uneltele din linia de comandă precum curl și openssl citesc acest fișier pentru a valida conexiunile. Prin eliminarea intrărilor greșite, uneltele nu mai încrează certificatele falsificate. Acest lucru previne atacurile man-in-the-middle care se bazează pe acele chei specifice.

Apple de obicei livrează macOS 27.3 publicului în decembrie.

Totuși, o actualizare mai mică, macOS 27.2.1, este așteptată mai devreme. Această versiune intermediară va conține probabil aceeași corecție de certificate. Acest lucru permite utilizatorilor să închidă golul de securitate înainte de eliberarea completă.

Dezvoltatorii care testează pe beta vor vedea corecția imediat. Actualizarea asigură că scripturile automate și pipeline-urile de build nu acceptă tăcut certificatele greșite. Acesta este critic pentru mediile CI/CD care se bazează pe uneltele din linia de comandă. Un certificat compromise ar putea expune date sensibile în timpul build-urilor.

Întrebări frecvente!

Utilizatorii pe macOS stabil ar trebui să aștepte actualizarea 27.2.1. Apple va împinge acest lucru prin Actualizarea Software-ului.

Corecția este mică, dar importantă. Ea închide o slăbiciune cunoscută care ar putea fi exploatată de atacatori.

Afectează toate versiunile macOS? Nu. Corecția țintează depozitul de certificate folosit de uneltele din linia de comandă. Aplicațiile desktop care folosesc cheiul de sistem nu sunt neapărat afectate direct.

Când va sosi actualizarea publică? macOS 27.3 este programat pentru decembrie.

Actualizarea intermediară 27.2.1 va fi probabil eliberată mai devreme în luna respectivă.

Cum verific dacă sistemul meu este vulnerabil? Rulează o unelă din linia de comandă precum curl împotriva unui URL de test.

Dacă acceptă un certificat auto-semnat sau compromise, sistemul este vulnerabil.