Apple lanzó macOS Golden Gate 27.2.1 con una protección para impedir que herramientas de línea de comandos acepten certificados comprometidos de eMudhra. El cambio también llegó a macOS Tahoe 26.7.3 y Sequoia 15.8.3, y cubre una vía distinta de la que Safari y Mail ya tenían protegida.
Qué cambia para Safari, curl y git
Apple bloqueó automáticamente desde el 19 de octubre los certificados afectados en Safari, Mail y otras aplicaciones que usan sus componentes de red y seguridad, según MacRumors. Esa protección se distribuía mediante datos de configuración, sin exigir la instalación de una nueva versión de macOS.
Algunas herramientas de línea de comandos incluidas con macOS o con las herramientas de Xcode, entre ellas curl y git, consultaban un archivo de certificados distinto y no aplicaban ese bloqueo. En una Mac sin la corrección, esas utilidades podían seguir aceptando los certificados comprometidos, según Apple.
Las actualizaciones publicadas el 9 de noviembre bloquean los 12 certificados TLS afectados en las herramientas que identifica la compañía. También retiran del archivo dos certificados raíz a los que se vinculaban esas cadenas de confianza, junto con otros tres certificados raíz de eMudhra.
La protección tiene un límite: algunas aplicaciones y herramientas mantienen sus propias listas de autoridades de confianza y no usan el bloqueo de Apple ni el archivo del sistema. La compañía recomienda consultar al desarrollador de esas aplicaciones para conocer las medidas correspondientes.
Por qué importaban los certificados
El incidente comprometió las claves privadas de ocho autoridades de certificación intermedias de eMudhra. Seis emitían certificados TLS, usados para identificar sitios y establecer conexiones cifradas; las otras dos expedían certificados para firma de código, de acuerdo con Apple.
Mozilla explicó que las claves comprometidas podían permitir la creación de certificados fraudulentos para sitios que un atacante no controlaba. Para leer o modificar el tráfico mediante esa suplantación, también tendría que interceptar la conexión y lograr que el programa aceptara el certificado falso.
Cada una de las seis autoridades TLS tenía dos certificados bajo cadenas de confianza diferentes. Por eso Apple habla de 12 certificados TLS bloqueados, aunque el incidente involucró a seis autoridades intermedias de ese tipo. Google y Mozilla habían desplegado sus propios bloqueos en octubre.
Patricia Rodriguez
Las versiones disponibles y otras correcciones
Apple publicó la protección para tres ramas de su sistema operativo:
- macOS Golden Gate 27.2.1 para equipos que ejecutan Golden Gate.
- macOS Tahoe 26.7.3 para equipos que ejecutan Tahoe.
- macOS Sequoia 15.8.3 para equipos que ejecutan Sequoia.
El boletín de Golden Gate 27.2.1 también detalla correcciones para Mensajes. Una falla podía permitir que un atacante remoto entrara en un chat grupal de iMessage y recibiera mensajes; otra podía dar a una persona recién añadida acceso a mensajes anteriores a su incorporación. Apple enumera además problemas de seguridad relacionados con Bluetooth y AirPlay, con condiciones de proximidad o de red según la falla.
Para buscar la actualización, abre Configuración del Sistema o Ajustes del Sistema, entra en General y selecciona Actualización de software. Apple indica que esa sección muestra el software compatible con cada Mac y recomienda hacer una copia de seguridad antes de instalarlo.
La compañía mantiene una alternativa manual para quienes usan las herramientas afectadas y no pueden actualizar. Advierte que retirar certificados raíz puede impedir que algunas conexiones verifiquen sitios legítimos. Tras instalar una de las versiones corregidas, Apple indica que no hace falta repetir ese procedimiento y que no debe restaurarse una copia anterior del archivo de certificados.
