Apple : git toujours vulnérable aux certificats eMudhra
Original : Apple's git still trusts the compromised eMudhra certificates
Pourquoi c'est important
Les chaînes CI/CD macOS sont exposées à des attaques supply chain via git et curl.
Depuis le 17 octobre, Apple a été notifiée de la compromission de certificats eMudhra. Au 28 octobre, git, curl et python3 livrés avec macOS font encore confiance à ces certificats, exposant développeurs et pipelines CI.
Apple a été alertée le 17 octobre de l'incident eMudhra, une autorité de certification dont plusieurs certificats intermédiaires ont été compromis. Onze jours plus tard, les outils développeurs intégrés à macOS — git, curl, python3 — font toujours confiance à ces certificats révoqués.
Plus grave : macOS 27.2, sorti le 26 octobre, n'a pas corrigé le problème et a en prime annulé les correctifs manuels appliqués par les utilisateurs, les laissant à nouveau exposés. Des dizaines d'autres projets, souvent maintenus par des bénévoles, avaient déjà publié des correctifs plusieurs jours auparavant.
Concrètement, tout attaquant positionné sur le chemin réseau peut intercepter les connexions HTTPS de ces outils : clones et pulls git via des remotes https://, credentials GitHub, ou encore contenu de dépôts privés. Apple a déjà protégé Safari et les applications utilisant son framework réseau natif, mais pas les outils en ligne de commande. La solution serait de supprimer les racines concernées de /etc/ssl/cert.pem. En attendant, les développeurs doivent appliquer le correctif manuellement après chaque mise à jour système. Les équipes sécurité sont également invitées à évaluer le risque pour leurs runners macOS en CI.