Apple git, 손상된 eMudhra 인증서 여전히 신뢰
원제: Apple's git still trusts the compromised eMudhra certificates
왜 중요한가
macOS 개발자 도구의 인증서 신뢰 문제는 소프트웨어 공급망 전체의 코드 무결성을 위협한다.
2026년 10월 28일 기준, Apple이 macOS에 기본 탑재한 git·curl·python3가 손상된 eMudhra 중간 인증서를 계속 신뢰한다. Apple은 10월 17일 사건을 통보받았으나, 10월 26일 출시된 macOS 27.2도 패치 없이 수동 우회책마저 초기화해 개발자를 재취약 상태로 되돌렸다.
보안 연구 커뮤니티가 운영하는 추적 사이트에 따르면, 인도 인증기관(CA) eMudhra의 중간 인증서 손상 사실이 Apple에 통보된 지 11일이 지났지만 macOS 개발자 도구는 여전히 해당 인증서를 신뢰한다.
문제의 핵심은 HTTPS 연결 전체가 공격자에게 노출된다는 점이다. git의 경우, https:// 원격 저장소에서의 clone·pull 시 공격자가 임의 코드를 주입할 수 있고, push 내용 변조와 GitHub 토큰 등 자격증명 탈취도 가능하다. curl과 python3도 동일하게 영향을 받는다.
특히 심각한 것은 macOS 27.2 업데이트 동작이다. Apple은 Safari 등 자체 네트워킹 프레임워크 기반 앱은 이미 보호했지만, /etc/ssl/cert.pem을 수동으로 수정해 우회책을 적용한 개발자들의 설정을 이번 업데이트가 되돌려버렸다. 즉, 업데이트 후 매번 우회책을 재적용해야 하는 상황이다.
공개된 PoC(개념 증명)에 따르면, 손상된 eMudhra 중간 인증서로 서명된 가짜 github.com 인증서를 제시하는 테스트 서버에 git이 아무 오류 없이 접속해 'INTERCEPTED'로 시작하는 README.md를 수신한다. 실제 공격자는 별도 설정 없이 네트워크 경로상에서 트래픽을 직접 가로챌 수 있다.
수십 개의 오픈소스 프로젝트—대부분 자원봉사자 운영—는 며칠 전 이미 수정판을 배포했다. 보안팀은 CI 파이프라인이나 빌드 인프라에 macOS runner가 사용되는지 점검하고 공급망 위험을 평가해야 한다고 연구진은 경고했다.