À propos des autorités de certification intermédiaires eMudhra compromises

Vos appareils Apple bloquent automatiquement les certificats compromis dans Safari, Mail et les apps qui utilisent les frameworks d’Apple. Pour empêcher les outils en ligne de commande sur Mac de les accepter, effectuez la mise à jour vers la dernière version de macOS.

Les appareils Apple bloquent automatiquement les certificats des autorités de certification (AC) intermédiaires eMudhra compromises qui émettent des certificats TLS. Ce blocage fonctionne dans Safari, Mail et les apps qui utilisent les frameworks réseau et de sécurité d’Apple.

Certains outils de ligne de commande inclus avec macOS ou les outils de ligne de commande Xcode (tels que curl et git) nécessitent une étape supplémentaire pour cesser d’accepter ces certificats :

• Installer la dernière version de macOS : la dernière version de macOS offre les protections de sécurité les plus renforcées. À partir de macOS 27.2.1, ces outils de ligne de commande n’acceptent plus ces certificats. Pour les ordinateurs Mac qui utilisent macOS 26 ou macOS 15, macOS 26.7.3 et macOS 15.8.3 incluent également cette protection.

• Si vous ne pouvez pas mettre à jour votre Mac : si vous utilisez ces outils en ligne de commande, mais que vous ne pouvez pas mettre à jour votre Mac vers macOS 27.2.1, 26.7.3 ou 15.8.3, vous pouvez supprimer les certificats racine de l’autorité de certification (AC) de /etc/ssl/cert.pem.

Mettre à jour macOS

Ce qu’il s’est passé

Les clés privées de huit autorités de certification intermédiaires gérées par eMudhra ont été compromises. Deux de ces autorités de certification émettent des certificats de signature de code, qui ne sont pas considérés comme des certificats de confiance par les frameworks d’Apple. Les six autres émettent des certificats TLS. Une personne disposant des clés de ces six autorités de certification pourrait créer des certificats qui semblent valides pour n’importe quel site web. eMudhra et Sectigo ont révoqué les certificats concernés.

Chacune des six AC intermédiaires TLS possède deux certificats, pour un total de 12 :

• Un certificat émis par emSign Root TLS CA - G3, qui est rattaché à emSign ECC Root CA - G3

• Un certificat signé de manière croisée par Sectigo, qui est rattaché à AAA Certificate Services

Consulter la liste des 12 certificats

Ce qu’Apple a fait

Apple bloque ces 12 certificats et emSign ECC Root CA - G3 dans Safari, Mail et les apps qui utilisent les frameworks réseau et de sécurité d’Apple. Les mises à jour des données de configuration des certificats sont envoyées aux appareils automatiquement et selon les besoins, vous n’avez donc pas besoin d’installer une mise à jour logicielle pour obtenir ce blocage.

À partir de macOS 27.2.1, macOS bloque également ces 12 certificats dans les outils de ligne de commande inclus avec macOS ou les outils de ligne de commande Xcode. Il supprime également de /etc/ssl/cert.pem les deux certificats d’AC racine auxquels les 12 certificats sont liés, ainsi que trois autres certificats d’AC racine eMudhra. macOS 26.7.3 et macOS 15.8.3 incluent également cette protection.

Afficher les certificats d’AC racine supprimés de /etc/ssl/cert.pem

Si vous ne pouvez pas mettre à jour votre Mac

Sur Mac, certains outils de ligne de commande fournis avec macOS ou les outils de ligne de commande Xcode (notamment curl, git, python3, ruby, perl et openssl) vérifient les certificats à l’aide du fichier /etc/ssl/cert.pem. Pour les certificats dont la chaîne aboutit à un certificat racine présent dans ce fichier, ces outils ne vérifient pas s’ils sont bloqués par Apple ou s’ils ont été révoqués.

Si vous utilisez ces outils, mais que vous ne pouvez pas mettre à jour votre Mac vers macOS 27.2.1, macOS 26.7.3 ou macOS 15.8.3, vous pouvez supprimer les certificats d’autorité de certification racine du fichier.

• Ces instructions concernent tous les outils ayant recours au fichier /etc/ssl/cert.pem. Par la suite, les outils qui utilisent uniquement ce fichier pourraient ne plus être en mesure de vérifier certains sites web dont les chaînes de certificats sont rattachées à ces certificats racine par le biais d’autorités de certification intermédiaires qui n’ont pas été affectés.

• Vous avez besoin d’un compte admin, ou vous pouvez également déployer les commandes avec votre solution de gestion des appareils. Copiez chaque commande exactement comme indiqué. Découvrez la marche à suivre si une alerte concernant la présence éventuelle d’un logiciel malveillant s’affiche lorsque vous collez la commande dans Terminal.

Pour supprimer des certificats racine du fichier /etc/ssl/cert.pem, procédez comme suit :

1. Effectuez une sauvegarde du fichier. Si une sauvegarde existe déjà, la commande suivante permet de la conserver :

   • [ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

2. Supprimez emSign ECC Root CA - G3. Cette commande crée une copie du fichier sans emSign ECC Root CA - G3, vérifie que la copie n’est pas vide et remplace le fichier d’origine. Elle n’affiche rien en cas de réussite :

   • t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

3. Facultatif : la suppression d’emSign ECC Root CA - G3 n’empêche pas ces outils d’accepter les six certificats que Sectigo a signés de manière croisée, car ces outils peuvent toujours les vérifier via AAA Certificate Services. Pour empêcher ces outils d’accepter ces six certificats via le fichier, vous pouvez également supprimer AAA Certificate Services. Cette commande fonctionne de la même manière que celle de l’étape 2 :

   • t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

4. Examinez le résultat. Cette commande affiche le certificat racine s’il est toujours présent dans le fichier. Si vous les supprimez tous les deux, rien ne s’affiche. Si la commande affiche une erreur, restaurez la sauvegarde effectuée à l’étape 1.

   • openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Après chaque mise à jour logicielle, exécutez la commande de l’étape 4. Si elle répertorie un certificat d’autorité de certification racine que vous avez supprimé, répétez ces étapes.

Après avoir effectué la mise à jour vers macOS 27.2.1, macOS 26.7.3 ou macOS 15.8.3, vous n’avez pas besoin de répéter ces étapes. Supprimez votre sauvegarde à l’aide de sudo rm /etc/ssl/cert.pem.orig, et ne restaurez pas une sauvegarde que vous avez effectuée avant la mise à jour.

Certificats bloqués

Certificats d’AC racine supprimés de /etc/ssl/cert.pem

macOS 27.2.1, macOS 26.7.3 et macOS 15.8.3 suppriment ces certificats d’autorité de certification (AC) racine de /etc/ssl/cert.pem. Les outils qui utilisent uniquement ce fichier peuvent ne pas être en mesure de vérifier certains sites web dont les certificats sont liés à ces certificats d’AC racine.