macOS 개발 도구, eMudhra 인증서 위조 10일째 방치
원제 Ten days later, Git on macOS still trusts the compromised eMudhra certificates
512 포인트댓글 192
Key Point
macOS의 기본 개발 도구가 중간자 공격에 노출되어 코드 변조, 자격증명 탈취 위험에 처해 있으며, Apple의 지연된 대응으로 CI/CD 파이프라인까지 영향을 받을 수 있다.
핵심 요약
- Apple이 10월 17일 eMudhra 인증서 유출 사건을 통보받았으나, 10월 28일까지 macOS의 git, curl, python3 등 개발 도구들이 여전히 위조된 인증서를 신뢰하고 있다.
- 10월 26일 공개된 macOS 27.2는 문제를 해결하지 못했고, 사용자들이 직접 적용한 임시 해결책까지 무효화해 다시 취약한 상태가 되었다.
- 다른 여러 프로젝트는 이미 며칠 전 수정본을 배포했으나, Apple은 지연되고 있다.
- git의 경우 HTTPS 원격지에서 클론·풀 시 공격자가 선택한 코드를 전달받을 수 있고, 푸시가 중간에 변조되며, GitHub 토큰 같은 자격증명이 탈취될 수 있다.
- curl, python3 등 Apple이 배포하는 다른 도구들도 동일한 방식으로 영향받는다.
- Safari와 Apple의 네트워킹 프레임워크 기반 앱들은 이미 보호되었다.
- Apple이 /etc/ssl/cert.pem에서 영향받은 루트 인증서를 제거하는 등 즉시 수정이 필요하며, 영향받은 인증서는 수동으로 삭제할 수 있다.
- 다만 macOS 업데이트 후 수정사항이 되돌려질 수 있으므로 매번 확인과 임시 해결책을 반복해야 한다.
- 보안팀은 CI/CD나 빌드 인프라에서 macOS 러너 사용 여부를 검토하고 공급망 위험을 평가해야 한다.