Apple의 git과 curl, 10월 28일 현재까지 손상된 eMudhra 인증서를 신뢰. macOS 27.2는 수동 우회 조치까지 되돌려
- 10월 17일 통보를 받고도 28일 현재 macOS의 /etc/ssl/cert.pem을 쓰는 git, curl, python3가 손상된 eMudhra 루트 인증서를 그대로 신뢰함
- 10월 26일 나온 macOS 27.2는 이 문제를 고치지 않았고, 사용자가 직접 지운 인증서를 복원해 수동 우회 조치를 무효화함
- 영향은 https 원격에서의 clone과 pull로 공격자 코드가 들어오고, push가 전송 중 변조되고, GitHub 토큰 같은 자격증명이 가로채이는 것까지 포함함
- Apple은 Safari 등 자사 네트워킹 프레임워크 기반 앱은 이미 보호했고, 개발자 도구는 cert.pem에서 루트를 직접 지우라면서 향후 업데이트에서 되돌아갈 수 있다고 안내함
- 영향 여부는
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git로 확인하며, 인증서 오류가 뜨면 안전하고 커밋이 출력되면 취약함
Hacker News 의견들
/etc/ssl/cert.pem을 쓰는 CLI가 한두 개가 아닌데, 보안 관점에서 Apple이 공을 완전히 떨어뜨리고 있음
27.2에서 두 주소 다 curl 인증서 오류 뜨더라. 근데 uname만으론 시스템에 뭘 했는지 알 수 없으니 which curl 해보고 /usr/bin/curl로 직접 확인해봐
제목이 좀 그렇다. "Apple이 /etc/에 손상된 CA를 계속 넣어둔다"가 맞고 git은 시스템 CA 쓰는 다른 앱과 똑같은 피해자임
시스템 CA 쓰는 게 원래 맞는 방향 아님? 리눅스도 update-ca-certificates로 갱신하는데 각 툴이 CA 번들을 따로 들고 오기 시작하면 답 없어짐
Apple 문서에 curl, git, python3, ruby, perl, openssl이 /etc/ssl/cert.pem만 검사하고 Apple 차단 목록이나 폐기 여부는 확인 안 한다고 되어 있더라
그럼 알아서 지우라는 거임? 업데이트 한 번 쏘면 안 되나
SIP 때문에 그럴 거라는 얘기가 많더라. OS 업데이트 경로 말곤 빨리 못 바꾸는 구조라서 그렇다는 거지
이런 일 겪고 10년 쓰던 macOS 버리고 리눅스로 돌아갔음
리눅스가 나은 게 있나? 데비안은 valgrind 경고 끄려다 SSH 키를 약하게 만들어서 2년 넘게 방치했잖아
위협 과장이라는 말엔 반대. ARP 스푸핑이나 카페 와이파이로 충분히 MITM 되고 mitmproxy엔 이제 eMudhra 인증서 즉석 생성 옵션까지 있음
DNS만 흔들어도 끝이고, TLS 신뢰 체인이 MITM 막는 마지막 방어선인데 그걸 10일 넘게 열어둔 거임
PHP2Shell이랑 비교하는데 범위는 이게 훨씬 넓고 인증서 유효기간만큼 계속 남음
27.2 설치하면 수동으로 지운 cert.pem이 되돌아가서 eMudhra CA가 다시 들어온다는 게 제일 최악임
homebrew git이랑 curl 쓰는데 영향이 있는지 아직 확인 못 했음. 수동 편집이 공식 안내라는 것도 황당하고