macOS의 git·curl·python3는 아직 eMudhra 인증서를 믿는다 — 통보 11일째, 27.2 업데이트가 수동 조치를 되돌렸다

10월 20일과 22일에 다룬 eMudhra 중간 CA 키 사고의 세 번째 글입니다. CA는 철수했고 브라우저는 막았는데, 개발 도구 하나가 남았습니다.

무엇이 아직 열려 있나

macOS가 함께 싣는 git, curl, python3가 침해된 eMudhra 인증서를 신뢰합니다. 페이지는 각 도구의 신뢰 저장소를 따로 이름 짓지는 않지만, 제안하는 수정이 /etc/ssl/cert.pem에서 해당 루트를 빼는 것이라 공유 저장소로 보입니다. Safari와 Apple 네트워킹 프레임워크 위의 앱은 보호돼 있습니다.

시간표

• 10월 17일: Apple에 통보.
• 10월 26일: macOS 27.2 출시. 수정 없음. 사용자가 손으로 적용한 우회 조치를 되돌림.
• 10월 28일: 페이지 게시. "수십 개 다른 프로젝트"는 며칠 전에 수정을 냈다고 합니다.

위험

이 도구들의 HTTPS 연결은 가로챌 수 있습니다. git이라면 clone·pull에 공격자가 고른 코드가 들어오고, push가 바뀌고, GitHub 토큰 같은 자격증명이 가로채질 수 있습니다.

확인 방법

• git: 페이지의 테스트 호스트에 git ls-remote. 인증서 오류가 나면 보호된 것, 커밋이 나열되면 영향받는 것.
• curl: 페이지의 테스트 호스트 두 개 요청. 인증서 오류면 보호.
• 데모: 테스트 저장소 클론. 패치된 git은 인증서 오류로 거부합니다. 클론이 되고 README가 "INTERCEPTED"로 시작하면 취약합니다.

우회

메인 페이지의 macOS 우회법대로 해당 루트를 손으로 제거합니다. Apple 안내상 macOS 업데이트가 이를 되돌릴 수 있으므로, Apple이 정식 수정을 낼 때까지 업데이트마다 확인과 조치를 반복해야 합니다. 보안팀은 CI 등 빌드 인프라의 macOS 러너를 점검하라고 합니다.

글에 없는 것

Apple의 공식 입장이나 수정 일정, Homebrew로 설치한 git·curl·python이 같은 저장소를 쓰는지. 페이지는 Apple이 싣는 바이너리를 다룹니다. 사이트 소스는 GitHub에 Apache 2.0으로 공개돼 있습니다.

실무에서 할 일

오늘 맥에서 페이지의 git ls-remote 테스트를 한 번 돌리세요. 통과하지 못하면 우회법을 적용하고, 27.2를 이미 깔았다면 되돌아갔을 수 있으니 다시 확인합니다. GitHub Actions의 macOS 러너와 사내 맥 빌드 머신은 보안팀 몫입니다. 10월 20일 글의 조치 중 "CA 교체가 자동화돼 있는가"에 더해, "운영체제가 안 고치면 우리가 신뢰 저장소를 만질 수 있는가"가 이번 숙제입니다.