macOS 27.2.1 blocca i certificati compromessi di eMudhra anche nel Terminale
Apple ha distribuito macOS 27.2.1, un aggiornamento mirato che completa la difesa contro i certificati compromessi dell’autorità di certificazione eMudhra. Per i Mac fermi a macOS 26 o macOS 15 sono disponibili, rispettivamente, macOS 26.7.3 e macOS 15.8.3.
A ottobre Cupertino aveva già bloccato quei certificati in Safari, Mail e nelle app basate sui framework di sistema, mettendo al sicuro la maggior parte degli utenti. Restava però scoperto un fronte: gli strumenti a riga di comando come curl e git continuavano ad accettarli. Con il nuovo aggiornamento anche questa porta viene chiusa.
In attesa della correzione, Apple aveva pubblicato le istruzioni per rimuovere manualmente i certificati radice coinvolti dal file /etc/ssl/cert.pem, procedura che resta consultabile sul sito di supporto per chi non può aggiornare.
All’origine del caso c’è un’indagine di Mozilla, che ha scoperto come i certificati eMudhra usassero chiavi private con valori inferiori a 256, quindi ricavabili con estrema facilità. Un malintenzionato avrebbe potuto generare certificati fasulli ma apparentemente validi per qualsiasi sito.
La correzione era già presente nella beta di macOS Golden Gate 27.3, ma la sua inclusione in macOS 27.2.1 evita di dover attendere dicembre.
🕸️ La Ragnatela di Spider-Mac 🕸️
Bene la scelta di non aspettare la 27.3, e bene anche gli aggiornamenti per macOS 26 e 15. Resta però il fatto che per settimane il Terminale sia rimasto esposto, proprio lo strumento usato da sviluppatori e amministratori di sistema. La toppa manuale su cert.pem era un ripiego, non una soluzione. La colpa originaria è di eMudhra: Apple ha reagito, ma poteva farlo in un solo colpo.
