macOS 27.3 risolve la falla dei certificati eMudhra da riga di comando
La prima versione preliminare di macOS 27.3 dedicata agli sviluppatori chiude una falla di sicurezza fondamentale che impedisce agli strumenti da riga di comando di accettare i certificati web compromessi dell’autorità eMudhra. In concreto, l’aggiornamento rimuove le chiavi coinvolte dal file di sistema /etc/ssl/cert.pem.
Il rilascio pubblico di macOS 27.3 è previsto per il mese di dicembre, ma è molto probabile che Apple distribuisca a breve l’aggiornamento macOS 27.2.1 per applicare tempestivamente la medesima patch di protezione a tutti gli utenti.
Chi preferisce non aggiornare subito il sistema operativo può procedere alla rimozione manuale dei certificati interessati modificando il file /etc/ssl/cert.pem, seguendo le istruzioni dettagliate messe a disposizione nel documento di supporto ufficiale stilato da Apple.
Gli utenti che non utilizzano la riga di comando tramite il Terminale o applicazioni analoghe non corrono alcun rischio. Apple ha infatti confermato di aver già bloccato i certificati web TLS compromessi di eMudhra a partire dallo scorso 19 ottobre all’interno di Safari, Mail e in tutte le applicazioni che sfruttano le infrastrutture di rete e sicurezza integrate nei sistemi operativi della mela. Questo blocco avviene in modo automatico senza richiedere l’installazione di alcun aggiornamento, azzerando le azioni necessarie per la grande maggioranza del pubblico.
L’intervento si è reso indispensabile dopo che un ricercatore di sicurezza ha scoperto, il mese scorso, la debolezza delle chiavi crittografiche private collegate a otto certificati intermedi della società indiana eMudhra. Tali chiavi compromesse avrebbero potuto consentire a malintenzionati di impersonare siti web legittimi, mettendo a rischio i dati sensibili degli utenti. Al momento non sono emersi indizi che attestino un uso fraudolento di questa vulnerabilità.
