Проблема затронула сертификаты индийской компании eMudhra, которым доверяли Safari, Chrome, Edge и Firefox. Слабые криптографические ключи теоретически позволяли злоумышленникам выдавать себя за настоящие сайты и получать доступ к чувствительным данным. При этом подтверждений злонамеренного использования ключей пока нет.
Apple начала блокировать скомпрометированные TLS-сертификаты 19 октября. Ограничение действует в Safari, Mail и приложениях, использующих сетевые и защитные фреймворки Apple. Оно применяется автоматически, поэтому устанавливать отдельное обновление для большинства устройств не требуется.
Исключение для командной строки
Некоторые инструменты командной строки в macOS пока могут принимать эти сертификаты. Это особенно важно для системных администраторов и других пользователей, которые работают с такими утилитами.
До выхода обновления macOS Apple рекомендует удалить корневые сертификаты CA из файла /etc/ssl/cert.pem. Компания пока не назвала дату релиза обновления, которое внесет необходимые изменения в этот файл по умолчанию.
Источник: MacRumors. Материал подготовлен редакцией Яблочного блога на основе оригинальной публикации.