✨︎ Resumen (TL;DR):
- Apple extendió a curl, git y otras herramientas de terminal el bloqueo de certificados eMudhra comprometidos.
- Las actualizaciones publicadas el 9 de noviembre bloquean 12 certificados TLS y retiran dos certificados raíz vinculados con esas cadenas, además de otros tres certificados raíz de eMudhra.
- La corrección llegó a Golden Gate 27.2.1, Tahoe 26.7.3 y Sequoia 15.8.3, aunque no cubre aplicaciones con listas propias de autoridades de confianza.
Apple lanzó macOS Golden Gate 27.2.1 para impedir que herramientas de línea de comandos como curl y git acepten certificados comprometidos de eMudhra. La protección también llegó a macOS Tahoe 26.7.3 y Sequoia 15.8.3, porque esas utilidades consultaban un archivo de certificados distinto al que usaban Safari y Mail. El cambio amplía el bloqueo a la vía que esas herramientas todavía no cubrían.
Safari y Mail ya tenían la protección
Desde el 19 de octubre, Apple bloqueó automáticamente los certificados afectados en Safari, Mail y otras aplicaciones que usan sus componentes de red y seguridad. La compañía distribuyó ese bloqueo mediante datos de configuración, sin exigir la instalación de una nueva versión de macOS.
Un certificado TLS es una credencial digital que identifica un sitio y establece una conexión cifrada.
El problema estaba en algunas herramientas de línea de comandos incluidas con macOS o con las herramientas de Xcode. Entre ellas se encuentran curl y git, que consultaban un archivo de certificados diferente y no aplicaban el bloqueo de Apple.
En una Mac sin la corrección, esas utilidades podían seguir aceptando los certificados comprometidos, de acuerdo con Apple.
El cambio alcanza a las herramientas de terminal
Las actualizaciones publicadas el 9 de noviembre bloquean los 12 certificados TLS afectados en las herramientas identificadas por Apple. También retiran del archivo 2 certificados raíz vinculados con esas cadenas de confianza y otros 3 certificados raíz de eMudhra.
La protección no cubre todas las aplicaciones. Algunas herramientas mantienen sus propias listas de autoridades de confianza y no usan el bloqueo de Apple ni el archivo del sistema. La compañía recomienda consultar al desarrollador de cada aplicación para conocer las medidas correspondientes.
Por qué el incidente exigió ese bloqueo
El incidente comprometió las claves privadas de 8 autoridades de certificación intermedias de eMudhra. 6 emitían certificados TLS, mientras que las otras 2 expedían certificados para firma de código.
Mozilla explicó que esas claves podían permitir la creación de certificados fraudulentos para sitios que un atacante no controlaba. Para leer o modificar el tráfico mediante esa suplantación, el atacante también tendría que interceptar la conexión y lograr que el programa aceptara el certificado falso.
Cada una de las 6 autoridades TLS tenía 2 certificados bajo cadenas de confianza diferentes. Por eso Apple habla de 12 certificados TLS bloqueados, aunque el incidente involucró a seis autoridades intermedias de ese tipo. Google y Mozilla desplegaron sus propios bloqueos en octubre.
Versiones disponibles y otras correcciones
La protección está disponible en estas ramas de macOS:
- macOS Golden Gate 27.2.1, para equipos que ejecutan Golden Gate.
- macOS Tahoe 26.7.3, para equipos que ejecutan Tahoe.
- macOS Sequoia 15.8.3, para equipos que ejecutan Sequoia.
El boletín de Golden Gate 27.2.1 también detalla correcciones para Mensajes. Una falla podía permitir que un atacante remoto entrara a un chat grupal de iMessage y recibiera mensajes. Otra podía dar a una persona recién añadida acceso a mensajes anteriores a su incorporación.
Apple enumera además problemas de seguridad relacionados con Bluetooth y AirPlay. Según la falla, las condiciones dependen de la proximidad o de la red.
Cómo buscar la actualización
Para buscarla, abre Configuración del Sistema o Ajustes del Sistema, entra en General y selecciona Actualización de software. Apple indica que esa sección muestra el software compatible con cada Mac y recomienda hacer una copia de seguridad antes de instalarlo.
Apple mantiene una alternativa manual para quienes usan las herramientas afectadas y no pueden actualizar. La compañía advierte que retirar certificados raíz puede impedir que algunas conexiones verifiquen sitios legítimos.
Después de instalar una de las versiones corregidas, Apple indica que no hace falta repetir ese procedimiento ni restaurar una copia anterior del archivo de certificados.
Para las herramientas que consultan el archivo de Apple, estas versiones extienden a la terminal el bloqueo que Safari y Mail ya recibían. Si una aplicación administra su propia lista de autoridades de confianza, la actualización del sistema no aplica ese bloqueo y el siguiente paso depende de su desarrollador.
