Apple fecha brecha de segurança com certificados eMudhra em três versões do macOS

A Apple colocou no ar nesta segunda-feira (9) as atualizações macOS 27.2.1, 26.7.3 e 15.8.3 com uma correção que os usuários de Mac esperavam desde outubro: a brecha de segurança envolvendo os certificados comprometidos da eMudhra está fechada de vez. Desta vez, nem as ferramentas de linha de comando escapam.

Em outubro, a Apple já havia bloqueado os certificados no Safari, no Mail e em apps que usam os frameworks oficiais de segurança do sistema. Mas curl, git e outros comandos do terminal continuavam aceitando os certificados falsos, um risco que administradores precisavam resolver na mão. Agora não precisam mais.

A história começou com um alerta da Mozilla, que reportou que oito chaves privadas de autoridades certificadoras intermediárias operadas pela eMudhra, empresa indiana de certificação digital, haviam sido comprometidas. Com acesso a essas chaves, um atacante poderia criar certificados fraudulentos que parecem legítimos, se passando por sites e interceptando dados sensíveis de quem visita.

O problema com os certificados eMudhra

Em 19 de outubro, a Apple começou a bloquear automaticamente os certificados afetados, com uma leva adicional de proteção em 23 de outubro. As medidas foram entregues por atualizações automáticas de configuração, o usuário não precisava instalar nada. Mas a proteção tinha um furo.

Ela cobria bem o Safari, o Mail e os apps que dependem dos frameworks de rede e segurança da Apple, mas deixava de fora parte do sistema. Ferramentas de terminal como curl e git ainda conseguiam validar os certificados comprometidos. Na prática, um desenvolvedor que usasse o git para clonar um repositório ou o curl para baixar um arquivo de um site falso ainda estaria vulnerável.

Na ocasião, a Apple publicou um artigo de suporte com instruções para administradores resolverem o problema manualmente, enquanto prometia uma correção completa numa futura atualização do macOS. O TecStudio acompanhou o caso desde o início, quando a Apple bloqueou os certificados falsos que podiam sequestrar sites no iPhone e Mac.

O que as atualizações de hoje mudam

Com o macOS 27.2.1, o macOS 26.7.3 e o macOS 15.8.3, a Apple impede que as ferramentas de linha de comando afetadas aceitem os certificados comprometidos. Quem tinha aplicado o workaround manual pode deixar de lado aquela configuração extra.

As atualizações também vão além: removem cinco certificados root CA do arquivo /etc/ssl/cert.pem, incluindo três certificados da eMudhra que não faziam parte da solução manual original. Ao todo, Apple lista 12 certificados afetados e cinco root certificates removidos, com os respectivos nomes e impressões digitais SHA-256 no artigo de suporte da empresa.

Quem ainda precisa ficar de olho

Para quem não pode instalar as atualizações mais recentes, a Apple mantém no ar as instruções manuais para contornar o problema, com os nomes e as impressões digitais SHA-256 de cada certificado. O passo a passo inclui os nomes e as SHA-256 de cada certificado.

A empresa faz ainda um alerta adicional, reproduzido no artigo de suporte: apps e ferramentas que incluem sua própria lista de certificados root CA e não usam o bloqueio da Apple nem o /etc/ssl/cert.pem podem continuar vulneráveis. A Apple recomenda que o usuário contate o desenvolvedor desses apps. Quem desenvolve ou usa softwares com lista própria de autoridades certificadoras precisa verificar com o fabricante se a proteção cobre o caso.

📲 Para não perder nenhum desdobramento dessa história nem outras atualizações de segurança, entra no Canal do TS no WhatsApp.

As três versões do macOS foram liberadas pela Apple nesta segunda-feira. A recomendação para quem pode atualizar é instalar o quanto antes.

Fonte: 9to5Mac