macOS付属のgitなど、侵害されたeMudhra証明書を依然信頼
2026年10月28日時点で、macOSに同梱されるgitやcurl、python3などの開発者ツールが侵害されたeMudhra証明書を依然として信頼している。Appleは10月17日に問題の通知を受けたが、10月26日公開のmacOS 27.2は問題を修正せず、利用者の回避策も取り消した。
Appleは10月17日にeMudhraの問題について通知を受けていた。2026年10月28日時点でも、macOSに同梱される開発者ツールは侵害された証明書を信頼し続けている。
通知と修正の経緯
Appleは10月17日にeMudhraの問題について通知を受けた。Safariや、Appleのネットワーキングフレームワーク上に構築された他のアプリは、すでに保護されている。
一方、他の多くのプロジェクトは数日前に修正版を公開しており、その多くはボランティアが運営している。
macOS 27.2の影響
macOS 27.2は10月26日に公開されたが、問題を修正しなかった。さらに、利用者が手動で適用していた回避策も取り消した。
Appleのガイダンスによると、macOSのアップデートによって修正が元に戻る可能性がある。
開発者ツールの信頼状況
2026年10月28日時点で、macOSに同梱されるgit、curl、python3などの開発者ツールは、侵害されたeMudhra証明書を依然として信頼している。
サーバーは、侵害されたeMudhraの中間証明書の一つによって発行されたgithub.comの証明書を提示するとされる。記事では、gitとcurlが影響を受けるかを確認するコマンドが示されており、gitのテストではgithub.comの名前解決を上書きする指定とポート443が用いられている。
筆者の見立て
- 本記事の筆者は、任意のHTTPS接続がこれらのツールによって傍受されうることを示唆している。
- 筆者は、実際の攻撃者には追加のオプションは不要であり、ネットワーク経路上の者がGitHubへの通信を自ら誘導できると解釈している。
- 筆者は、Appleが開発者向けの修正をできるだけ早く提供する必要があると論じている。
- 筆者は、セキュリティチームがCIやその他のビルド基盤でmacOSランナーが使われているかを確認し、サプライチェーンリスクを評価すべきだと論じている。
この記事は元記事の事実のみに基づいて自動生成されました。
出典
- 媒体: we-have-a-problem.com
- 原題: Apple's git still trusts the compromised eMudhra certificates
- 公開日: 2026年10月28日
- URL: https://emudhra.we-have-a-problem.com/apple.html
- (Apple's guidance の報道による)