ИИтог

Apple: git, curl и python3 в macOS всё ещё доверяют скомпрометированным сертификатам eMudhra

безопасностьРедакция ИИтогHacker News🔥84Рейтинг ИИтог84Влияние80Новизна70Релевантность90Неожиданность75Участники60Достоверность80

На сайте emudhra.we-have-a-problem.com, опубликованном Dennis Jackson (автор указывает, что это работа многих участников сообщества), от 28 октября 2026 года говорится: Apple уведомили об инциденте с eMudhra 17 октября, но по состоянию на 28 октября инструменты разработчика, которые Apple поставляет с macOS, включая git, curl и python3, по-прежнему доверяют скомпрометированным сертификатам.

Хуже того, macOS 27.2, вышедшая 26 октября, не исправила проблему и отменила обходной путь, который пользователи применили вручную, они снова уязвимы. При этом, как сказано на странице, десятки других проектов, многие из которых поддерживают волонтёры, выпустили исправления несколько дней назад. По утверждению сайта, любой может перехватить любое HTTPS-соединение этих инструментов.

Для git это значит, что клонирование и получение изменений (clone, pull) с удалённых репозиториев по https:// может доставить код, выбранный атакующим, отправляемые изменения (push) могут быть подменены по пути, а учётные данные, например токены GitHub, могут быть перехвачены.

На странице есть проверка. Команда git ls-remote для тестового адреса git-emudhra.we-have-a-problem.com/check.git: ошибка сертификата означает, что git защищён; если git показал коммит, он уязвим, и соединения с GitHub или любым другим https-репозиторием можно перехватить и подменить. Для наглядной демонстрации атаки предложено клонировать репозиторий во временную папку с тестового сервера, выдающего себя за GitHub: он предъявляет сертификат github.com, выпущенный одним из скомпрометированных промежуточных сертификатов eMudhra. Опция -c перенаправляет github.com на тестовый сервер только для одной команды. Исправленный git откажет с ошибкой сертификата; если клонирование удалось, в README.md будет текст, начинающийся с INTERCEPTED. Настоящему атакующему эта опция не нужна: перенаправить трафик может любой, кто находится на пути между пользователем и GitHub. Демонстрационный репозиторий можно заменить любым другим, публичным или приватным, но префикс fake-user@ нужно сохранить: без него git отправил бы на тестовый сервер учётные данные GitHub.

curl, python3 и остальные инструменты Apple затронуты так же; для curl на странице даны две проверочные команды, и ошибка сертификата означает, что curl защищён. Safari и другие приложения на сетевом фреймворке Apple, по словам сайта, уже защищены.

Сайт требует, чтобы Apple как можно скорее выпустила исправление для разработчиков под macOS, например удалив затронутые корневые сертификаты из /etc/ssl/cert.pem. Пока этого нет, затронутые корневые сертификаты можно удалить вручную по инструкции на главной странице сайта. Согласно рекомендациям Apple, на которые ссылается сайт, обновления macOS могут откатывать исправление, поэтому проверки и обходной путь нужно повторять после каждого обновления, пока Apple не выпустит исправление. Командам безопасности предлагается также выяснить, используются ли macOS-раннеры в CI или другой инфраструктуре сборки, и оценить риск для цепочки поставок.

Ключевые факты

  • Apple уведомили об инциденте с eMudhra 17 октября; по состоянию на 28 октября, по данным сайта, git, curl и python3 из macOS всё ещё доверяют скомпрометированным сертификатам.
  • macOS 27.2 (выпущена 26 октября) не исправила проблему и отменила ручной обходной путь пользователей.
  • Сайт утверждает, что любой может перехватить HTTPS-соединения этих инструментов: для git это подмена кода при clone и pull, изменение push и кража токенов вроде GitHub.
  • На странице есть команды для проверки git и curl и демонстрация атаки через тестовый сервер, выдающий себя за GitHub.
  • Safari и приложения на сетевом фреймворке Apple уже защищены; сайт предлагает убрать затронутые корневые сертификаты из /etc/ssl/cert.pem и повторять обходной путь после каждого обновления macOS.

Почему это важно

Речь о базовых инструментах разработчика на macOS. Если им доверяют скомпрометированные сертификаты, перехват HTTPS-соединений становится возможен для любого, кто находится на сетевом пути, а git, который тянет код и отправляет учётные данные, оказывается под угрозой. Усугубляет ситуацию то, что выпуск macOS 27.2 не устранил проблему и отменил ручное исправление. По словам сайта, десятки других проектов уже выпустили исправления.

Кому это важно

Разработчикам на macOS, использующим системные git, curl и python3, особенно тем, кто работает с GitHub и другими https-репозиториями и хранит токены. Также командам безопасности и тем, кто использует macOS-раннеры в CI или другой инфраструктуре сборки: сайт прямо советует оценить риск для цепочки поставок.

Как это применить

Проверьте git командой git ls-remote с тестовым адресом со страницы: ошибка сертификата означает защиту, показанный коммит, уязвимость. Для curl на странице даны две проверочные команды, ошибка сертификата означает, что curl защищён. Затронутые корневые сертификаты можно удалить вручную по инструкции на главной странице сайта. По рекомендациям Apple, на которые ссылается сайт, после каждого обновления macOS проверки и обходной путь нужно повторять, пока Apple не выпустит исправление. Демонстрационную команду клонирования запускайте только во временной папке и сохраняйте префикс fake-user@, иначе git отправит учётные данные GitHub на тестовый сервер.

Можно ли доверять

Источник, сайт, опубликованный Dennis Jackson и подготовленный многими участниками сообщества, с открытым кодом на GitHub под лицензией Apache 2.0; это не заявление Apple. На странице есть воспроизводимые проверки, но сайт не объясняет, что именно произошло с eMudhra и как были скомпрометированы сертификаты. Ответ Apple не приведён, кроме ссылки на её рекомендации о том, что обновления могут откатывать исправление. Доказательств реальных атак не приведено: перехват показан только на тестовом сервере.

Риски и подводные камни

Сайт не называет другие затронутые версии macOS, кроме 27.2, и не указывает сроков исправления со стороны Apple. Ручное удаление корневых сертификатов может быть отменено любым обновлением macOS, как это случилось с 27.2. Демонстрационные команды перенаправляют github.com на сторонний тестовый сервер, поэтому их нужно запускать строго по инструкции. Сайт также не перечисляет проекты, уже выпустившие исправления.

«Apple должна как можно скорее выпустить исправление для разработчиков под macOS, например удалив затронутые корневые сертификаты из /etc/ssl/cert.pem.»

— сайт emudhra.we-have-a-problem.com, опубликованный Dennis Jackson