macOS 27.2未修補eMudhra憑證風險，Git與curl仍可能遭中間人攻擊

Apple於10月26日推出macOS 27.2，但系統內建的Git、curl及Python 3等工具，仍可能接受印度憑證業者eMudhra已撤銷的問題憑證。研究人員10月28日公布測試，顯示攻擊者若能攔截或重新導向網路連線，可能冒充GitHub等網站，讓開發者下載遭竄改的程式碼。Apple已確認相關防護尚未完成，將透過後續macOS更新修正。

eMudhra於10月17日接獲通報，旗下8個中繼憑證授權機構（CA）的私鑰因產生程序有缺陷，可從公開憑證還原，其中6個可用於簽發網站的TLS憑證。攻擊者若取得相關私鑰，便可能偽造合法網站的HTTPS憑證。eMudhra已撤銷問題憑證，Apple自10月19日起也透過自動更新的封鎖清單，保護Safari、Mail及使用其網路與安全框架的應用程式。

macOS不同工具的憑證驗證方式並不相同。Safari等應用程式已受到Apple的封鎖措施保護，但部分命令列工具使用/etc/ssl/cert.pem中的根CA憑證驗證網站身分，不會檢查Apple的封鎖清單或憑證撤銷狀態。因此，即使Safari拒絕問題憑證，Git、curl及Python 3仍可能接受由受影響中繼CA簽發的憑證。

研究人員架設模擬GitHub的測試伺服器，使用受影響的私鑰製作網站憑證，再將Git連線導向該伺服器，未完成防護的Git可能成功複製遭替換的儲存庫內容。類似手法也可能影響程式碼下載、推送及GitHub權杖安全，但前提是攻擊者能攔截或重新導向連線。

研究人員指出，macOS 27.2更新後，先前手動移除的相關根CA憑證可能重新出現在憑證檔案中，使Git、curl等工具再次面臨風險。Apple也提醒，系統更新可能覆蓋手動修正，開發者及使用macOS執行自動化建置的企業應重新確認防護狀態。

目前Apple建議有需要的管理員，可先從憑證檔案移除相關根CA，但此舉可能影響其他網站的憑證驗證。官方尚未公布命令列工具修正的確切發布日期。