Bản cập nhật macOS mới vá dứt điểm lỗ hổng bảo mật liên quan đến chứng chỉ eMudhra

Apple hôm nay đã phát hành các bản cập nhật macOS nhằm giải quyết lỗ hổng bảo mật liên quan đến các chứng chỉ eMudhra bị xâm phạm, sau khi đã tiến hành chặn chúng trên Safari, Mail và các ứng dụng khác hồi tháng 10. Dưới đây là các chi tiết cụ thể.

Bối cảnh sự việc

Cách đây vài tuần, Mozilla đã báo cáo rằng khóa riêng tư của tám cơ quan cấp chứng chỉ trung gian do eMudhra, một công ty chứng nhận kỹ thuật số của Ấn Độ, vận hành đã bị xâm phạm.

Về cơ bản, các chứng chỉ này được dùng để thiết lập độ tin cậy trong các chứng chỉ kỹ thuật số nhằm xác minh danh tính trang web và thiết lập kết nối an toàn.

Với quyền truy cập vào các khóa riêng tư bị lộ, kẻ xấu có phần mềm độc hại tiềm năng có thể tạo ra các chứng chỉ giả mạo nhưng trông có vẻ hợp pháp, cho phép chúng giả mạo trang web và chặn bắt thông tin nhạy cảm của người dùng.

Để phản ứng lại sự cố này, Apple đã bắt đầu tự động chặn các chứng chỉ bị ảnh hưởng vào ngày 19 tháng 10, tiếp theo là các biện pháp bảo vệ bổ sung vào ngày 23 tháng 10.

Những thay đổi này được cung cấp thông qua các bản cập nhật cấu hình chứng chỉ tự động, đồng nghĩa với việc người dùng không cần phải cài đặt một bản cập nhật macOS mới để được bảo vệ.

Mặc dù các biện pháp này đã bảo vệ Safari, Mail và các ứng dụng sử dụng khung mạng và bảo mật của Apple, chúng vẫn chưa bao phủ toàn bộ macOS. Cụ thể, một số công cụ dòng lệnh bao gồm curl và git vẫn có thể chấp nhận các chứng chỉ bị xâm phạm.

Tại thời điểm đó, Apple đã xuất bản một bài viết hỗ trợ kèm theo hướng dẫn để quản trị viên thủ công xử lý khoảng trống bảo mật còn lại này, đồng thời hứa hẹn sẽ tung ra bản vá trong một bản cập nhật macOS tương lai.

Hôm nay, Apple đã cập nhật tài liệu để xác nhận rằng bản vá đã chính thức sẵn sàng.

Apple đóng lại lỗ hổng bảo mật eMudhra cuối cùng

Như Apple giải thích, macOS 27.2.1, macOS 26.7.3 và macOS 15.8.3 được phát hành vào đầu ngày hôm nay đã ngăn chặn các công cụ dòng lệnh bị ảnh hưởng chấp nhận chứng chỉ bị xâm phạm, qua đó loại bỏ nhu cầu quản trị viên phải tự xử lý vấn đề này bằng tay.

Các bản cập nhật cũng đồng thời gỡ bỏ năm chứng chỉ gốc CA khỏi thư mục /etc/ssl/cert.pem, bao gồm ba chứng chỉ eMudhra bổ sung vốn không nằm trong giải pháp thủ công ban đầu của Apple.

Mặc dù vậy, đối với những người dùng không thể cài đặt các bản cập nhật macOS mới nhất, Apple vẫn tiếp tục cung cấp hướng dẫn xử lý thủ công trong tài liệu hỗ trợ của hãng, đi kèm với tên và mã định danh vân tay SHA-256 của 12 chứng chỉ bị ảnh hưởng cùng năm chứng chỉ gốc CA đã bị gỡ bỏ.

Apple cũng lưu ý rằng "một số ứng dụng và công cụ có danh sách chứng chỉ gốc CA riêng và không sử dụng cơ chế chặn của Apple hoặc tệp /etc/ssl/cert.pem", đồng thời khuyên người dùng nên liên hệ với nhà phát triển của các ứng dụng và công cụ đó.