Apple के git में eMudhra सर्टिफिकेट खतरा बरकरार
मूल शीर्षक: Apple's git still trusts the compromised eMudhra certificates
यह क्यों महत्वपूर्ण है
CI/CD pipelines में macOS runners हों तो supply chain पर सीधा हमला संभव है, जो पूरे software build process को खतरे में डालता है।
17 अक्टूबर को सूचित किए जाने के बावजूद, 28 अक्टूबर तक Apple के macOS के साथ आने वाले git, curl और python3 टूल्स समझौता किए गए eMudhra certificates पर भरोसा करते रहे। macOS 27.2 अपडेट ने यूज़र्स द्वारा लगाए गए वर्कअराउंड को भी पलट दिया।
सुरक्षा शोधकर्ता Dennis Jackson द्वारा प्रकाशित रिपोर्ट के अनुसार, Apple को eMudhra की certificate से जुड़ी समस्या की जानकारी 17 अक्टूबर को दे दी गई थी। लेकिन 11 दिन बाद भी Apple के macOS Developer Tools — git, curl, python3 — उन compromised certificates को valid मान रहे हैं।
स्थिति तब और गंभीर हो गई जब 26 अक्टूबर को जारी macOS 27.2 अपडेट ने उन यूज़र्स का manual workaround भी मिटा दिया जिन्होंने खुद /etc/ssl/cert.pem फ़ाइल से प्रभावित roots हटाए थे — यानी वे फिर से असुरक्षित हो गए।
खतरा वास्तविक है: कोई भी व्यक्ति जो network path पर मौजूद हो, HTTPS connections को बीच में रोक सकता है। git के लिए इसका अर्थ है कि https:// remotes से clone या pull करने पर हमलावर मनचाहा code भेज सकता है, push को बदल सकता है, और GitHub tokens जैसे credentials चुरा सकता है।
साइट पर दिए गए परीक्षण से यह सीधे साबित किया जा सकता है — एक test server github.com की नकल करता है और compromised eMudhra intermediate से जारी certificate पेश करता है। अगर git clone सफल हो जाए, तो README.md में "INTERCEPTED" लिखा दिखता है।
Apple ने Safari और अपने networking framework पर आधारित apps को पहले ही सुरक्षित कर लिया है, लेकिन developer tools के लिए अब तक कोई patch नहीं आया। दर्जनों अन्य open-source projects — जिनमें से कई volunteers चलाते हैं — days पहले ही fixes ship कर चुके हैं। फिलहाल developers को हर macOS update के बाद manually workaround दोहराना होगा।