eMudhra-TLS-Leck: Apple lässt Problem auf macOS-Kommandozeile zunächst bestehen

Nutzer, die auf ihrem Mac Kommandozeilenwerkzeuge verwenden, die sich für den Zertifikatecheck auf /etc/ssl/cert.pem verlassen, sollten einer Anleitung des Konzerns folgen, um sich gegen einen massiven Sicherheitsvorfall bei der Zertifizierungsstelle eMuthra zu schützen. Dieser macht es möglich, dass Angreifer in bestimmten Netzwerkpositionen potenziell Server im Netz imitieren können, da TLS-Verschlüsselungsabfragen geknackt werden können. Nutzer würden also schlimmstenfalls auf von Kriminellen kontrollierte Rechner umgeleitet. Während Apple das Problem im Browser Safari längst serverseitig behoben hat – genauso wie nahezu jeder andere Browser-Hersteller von Firefox bis Google Chrome –, gilt das für die Kommandozeile nicht. Beobachter verwundert dies, hatte Apple doch erst in dieser Woche macOS 27.2 und weitere macOS-Updates publiziert, die den Fix hätten mitliefern können.

Anleitung von Apple

Was Apple derzeit bereitstellt, ist eine Anleitung, wie Nutzer selbst tätig werden können. Sie steht derzeit nur in englischer Sprache zur Verfügung. Das Unternehmen schreibt darin, man werde die betroffene Datei „mit einem späteren Softwareupdate“ anpassen. Wer die von Apple ausgelieferten Xcode Command Line Tools nutzt, ist betroffen, aber auch andere Nutzer, die verschiedene CLI-Tools wie curl, git, python3, ruby, perl oder openssl nutzen. Teilweise gibt es Fixes für die Werkzeuge selbst, allerdings müssen sie dann händisch (etwa im Rahmen von homebrew) aktualisiert werden.

Es ist grundsätzlich sinnvoll, zu prüfen, ob die eigene Maschine betroffen ist. Dazu begibt man sich ins macOS-Terminal und führt folgenden Befehl aus:

openssl crl2pkcs7 -nocrl -certfile /etc/ssl/cert.pem | openssl pkcs7 -print_certs -noout | grep -E 'emSign ECC Root CA - G3|AAA Certificate Services'

Spuckt dieser noch Zertifizierungsstellen aus, befinden sich diese noch in /etc/ssl/cert.pem und sollten gelöscht werden. Apple selbst erläutert hierzu ein händisches Vorgehen in mehreren Schritten. Apple empfiehlt zunächst, ein Backup von cert.pem anzulegen – die Eingabe eines Administratorpassworts ist notwendig:

[ -e /etc/ssl/cert.pem.orig ] || sudo cp -p /etc/ssl/cert.pem /etc/ssl/cert.pem.orig

Dann wird die problematische Zertifizierungsstelle entfernt:

t=$(mktemp) && awk -v s='=== /C=IN/OU=emSign PKI/O=eMudhra Technologies Limited/CN=emSign ECC Root CA - G3' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

Optional lässt sich auch noch eine weitere Zertifizierungsstelle entfernen, über die – zumindest theoretisch – eine weitere Verifizierung der problematischen Zertifikate möglich wäre:

t=$(mktemp) && awk -v s='=== /C=GB/ST=Greater Manchester/L=Salford/O=Comodo CA Limited/CN=AAA Certificate Services' '/^(===|###) /{skip=0} $0==s{skip=1} !skip' /etc/ssl/cert.pem > "$t" && [ -s "$t" ] && sudo install -m 0644 -o root -g wheel "$t" /etc/ssl/cert.pem; rm -f "$t"

AAA Certificate Services

Dann können Sie mit dem oben bereits erwähnten Prüfungscode kontrollieren, ob die betroffenen Zertifizierungsstellen gelöscht wurden. Der Output sollte leer sein.

Apple räumt später auf

Warum Apple die Schritte nicht schlicht selbst mit macOS 27.2 und Co. gegangen ist (über das Mitliefern einer bereitnigten Version von /etc/ssl/cert.pem) bleibt unklar. Die Zeit hätte eigentlich ausreichen müssen. Nutzer sollten daher selbst tätig werden und zumindest den oben genannten Prüfvorgang anstoßen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.