Apple, bugün yayımladığı macOS güncellemeleriyle, Ekim ayında Safari, Mail ve diğer uygulamalarda engellemeye başladığı tehlikeye düşmüş eMudhra sertifikalarıyla ilgili güvenlik açığını giderdi. Ayrıntılar şu şekildedir.
Biraz bağlam
Birkaç hafta önce Mozilla, Hintli dijital sertifika şirketi eMudhra tarafından işletilen sekiz ara sertifika otoritesinin özel anahtarlarının tehlikeye düştüğünü bildirdi.
Bu sertifikalar, web sitesi kimliklerini doğrulayan ve güvenli bağlantıları sağlayan dijital sertifikalara güven oluşturmak için kullanılıyor.
Tehlikeye düşen özel anahtarlara erişim sağlayan saldırganlar, meşru görünen sahte sertifikalar oluşturabiliyor; bu da web sitelerini taklit etmelerine ve hassas kullanıcı bilgilerini ele geçirmelerine olanak tanıyabiliyor.
Bu gelişmenin ardından Apple, 19 Ekim'de etkilenen sertifikaları otomatik olarak engellemeye başladı; 23 Ekim'de ek korumalar devreye sokuldu.
Bu değişiklikler otomatik sertifika yapılandırma güncellemeleri aracılığıyla sunuldu; kullanıcıların korunmak için macOS güncellemesi yüklemesi gerekmedi.
Bu önlemler Safari, Mail ve Apple'ın ağ ve güvenlik çerçevelerini kullanan uygulamaları korudu; ancak tüm macOS'u kapsamadı. curl ve git gibi bazı komut satırı araçları tehlikeye düşen sertifikaları kabul etmeye devam edebiliyordu.
O dönemde Apple, yöneticilerin kalan güvenlik açığını elle gidermesi için talimatlar içeren bir destek belgesi yayımladı ve gelecekteki bir macOS güncellemesinde düzeltme vaat etti.
Apple bugün belgeyi güncelleyerek düzeltmenin kullanıma sunulduğunu doğruladı.
Apple, kalan eMudhra güvenlik açığını kapatıyor
Apple'ın açıklamasına göre bugün yayımlanan macOS 27.2.1, macOS 26.7.3 ve macOS 15.8.3 güncellemeleri, etkilenen komut satırı araçlarının tehlikeye düşen sertifikaları kabul etmesini önlüyor ve yöneticilerin sorunu elle gidermesi ihtiyacını ortadan kaldırıyor.
Güncellemeler ayrıca /etc/ssl/cert.pem dosyasından beş kök CA sertifikasını kaldırıyor; bunlar arasında Apple'ın ilk elle çözümünde yer almayan üç ek eMudhra sertifikası da bulunuyor.
En güncel macOS güncellemelerini yükleyemeyen kullanıcılar için Apple, destek belgesinde sorunu elle gidermeye yönelik talimatları sunmaya devam ediyor; ayrıca güncellemelerin kaldırdığı 12 etkilenen sertifika ile beş kök CA sertifikasının adlarını ve SHA-256 parmak izlerini paylaşıyor.
Apple ayrıca bazı uygulama ve araçların kendi kök CA sertifika listelerini içerdiğini ve Apple'ın engellemesini ya da /etc/ssl/cert.pem dosyasını kullanmadığını belirtiyor; kullanıcıları bu uygulama ve araçların geliştiricileriyle iletişime geçmeye çağırıyor.
Apple'ın tam destek belgesi şirketin resmi destek sayfasında yer alıyor.