Mac komut satırı araçları, Apple engeline rağmen eMudhra sertifikasına güvenebilir

Apple($AAPL), eMudhra'nın (eMudhra) güvenliği ihlal edilen TLS ara sertifikalarını engelledi. Ancak Mac'lerde yerleşik gelen git ve curl gibi bazı komut satırı araçları bu sertifikaları hâlâ kabul edebilir. Safari ve Mail'de uygulanan engelleme, Terminal araçlarında aynı şekilde çalışmıyor.

Apple, resmi açıklamasında 19 Ekim'den itibaren sorunlu 12 ara sertifikayı engellemeye başladığını, 23 Ekim'de ise emSign ECC Root CA - G3 sertifikasını da engelleme listesine eklediğini bildirdi. Safari, Mail ve Apple'ın ağ ve güvenlik çerçevelerini kullanan uygulamalar bu engelleme bilgisini ayrıca işlem gerektirmeden alıyor.

Sorunun kaynağında eMudhra'nın işlettiği sekiz ara sertifika otoritesinin özel anahtarlarının ele geçirilmesi yer alıyor. Apple, bunlardan altısının web siteleri için TLS sertifikası düzenlediğini ve bu anahtarlara erişen saldırganların istedikleri web siteleri için geçerli görünen sertifikalar oluşturabildiğini açıkladı.

Apple'a göre macOS veya Xcode komut satırı araçlarıyla gelen curl, git, python3, ruby, perl ve openssl gibi araçlar /etc/ssl/cert.pem dosyasını kontrol ediyor. Bu dosyada Apple'ın engelleme bilgisi bulunmadığından, sertifikaları bu dosyaya göre doğrulayan araçlar sorunlu sertifikaları kabul edebilir.

Apple, Terminal'i işlerinde kullanmayan sıradan kullanıcıların ayrıca bir işlem yapmasına gerek olmadığını belirtti. Safari ve Mail gibi Apple'ın ağ ve güvenlik çerçevelerini kullanan uygulamalara engelleme otomatik olarak uygulanıyor.

eMudhra olayını izleyen site, 28 Ekim tarihli paylaşımında Apple'ın olaydan 17 Ekim'de haberdar edildiğini ve o sırada Mac'lerde yerleşik gelen git, curl ve python3 araçlarının sorunlu sertifikalara hâlâ güvendiğini bildirdi. Siteye göre 26 Ekim'de yayımlanan macOS 27.2 de sorunu çözmedi ve kullanıcıların elle uyguladığı önlemleri geri aldı.

Araştırma sayfası, saldırganın ağ bağlantısı üzerinde bulunması hâlinde bu araçların HTTPS bağlantılarını araya girerek dinleyebileceği uyarısında bulundu. Bu, sertifika doğrulamasının geçebildiği koşullarda mümkün olan bir saldırı yolunu açıklıyor.

Git'i HTTPS kullanan uzak depolara bağlayan kullanıcıların kod indirme ve gönderme işlemleri etkilenebilir. Araştırma sayfası, saldırganların clone ve pull sırasında kodu değiştirebileceğini, push içeriğini bozabileceğini ve GitHub token'ları gibi kimlik doğrulama bilgilerini ele geçirebileceğini belirtti.

Ancak araştırma sayfası saldırı yollarını ve olası etkileri ortaya koyuyor. Sayfada Mac geliştiricilerinin kodlarının veya kimlik doğrulama bilgilerinin gerçekten sızdırıldığına dair bir vaka sunulmuyor.

Bazı uygulamalar ve araçlar kendi kök sertifika listelerini kullanıyor; Apple'ın engelleme bilgisini veya /etc/ssl/cert.pem dosyasını dikkate almıyor. Bu programların ayrıca kontrol edilmesi gerekiyor; sistem sertifika dosyasını değiştirmek tek başına yeterli olmayabilir.

Python paketleme topluluğu duyurusunda certifi 2026.10.19 ve pip 26.2.2 veya daha yeni bir sürüme geçilmesini önerdi. Duyuruya göre pip 26.2.2'den eski sürümler kendi içlerindeki certifi sertifika listesini de kullandığından, yalnızca sistemin güven ayarlarını değiştirmek yeterli değil.

Araştırma sayfası, macOS çalıştırıcıları kullanan CI ve derleme ortamlarının da kontrol edilmesi gerektiğini belirtti. Bir sanal varlık projesi Mac'ten kod veya bağımlılık paketi indirip gönderiyorsa tarayıcıya uygulanan engellemenin bu iletişim yolunu da koruduğu varsayılamaz.

TokenPost daha önce tarayıcı dışında çalışan sanal varlık alım satım botları ve borsa uygulamalarının ayrı sertifika düzenleri kullandıklarında riske açık olabileceği uyarısını yayımlamıştı. Bu olayda da bir sertifika otoritesi ihlalinin etkisi, Mac komut satırı araçlarının kullandığı sertifika ayarlarına kadar uzandı.

Ethereum düğüm yazılımlarında da araçların kullandığı sertifika depoları olası bir değişken olarak gündeme geldi. TokenPost daha önce Ethereum düğüm istemcileri Teku ve Besu'nun Docker imajlarındaki sertifika güven listelerini değiştirdiğini aktarmıştı.

Apple, yöneticiler için /etc/ssl/cert.pem dosyasından ilgili kök sertifikaların kaldırılmasına yönelik adımları paylaştı. Şirket, bu işlemin söz konusu dosyayı kullanan diğer araçların sertifika doğrulamasını da etkileyebileceğini ekledi.

Apple, komut satırı araçlarına yönelik düzeltmeleri gelecekteki bir macOS güncellemesine eklemeyi planlıyor. Düzeltme yayımlanana kadar sistem güncellemeleri sertifika dosyasını önceki hâline döndürebileceğinden, güncelleme sonrasında dosyanın durumunun yeniden kontrol edilmesi gerekiyor.