eMudhraの中間CA鍵漏えい、Macのcurlやgitは依然として信頼する恐れ　/etc/ssl/cert.pemは失効確認せず、macOS更新で削除したルートが戻る報告も

Appleのサポート文書によると、eMudhraが運用する8つの中間CAの秘密鍵が漏えいし、うち6つはTLS証明書を発行するCAで、任意のWebサイトに有効に見える証明書を作成され得る状態だった。eMudhraとSectigoは該当証明書を失効させ、Appleは10月19日から計12枚の中間CA証明書を、10月23日からはemSign ECC Root CA - G3もブロックしている。ただしこのブロックはSafariやMail、Appleのネットワーク／セキュリティフレームワークを使うアプリが対象で、curl、git、python3、ruby、perl、opensslなど/etc/ssl/cert.pemを使うツールは、Appleのブロックも失効状態も確認しない。Appleは将来のソフトウェアアップデートでcert.pemを更新するとしつつ、待てない場合は該当ルートCAをファイルから削除できると案内している。一方、Xではこの手順でルートを削除しても、macOSのアップデートでcert.pemが置き換えられ、eMudhraのルートCA 2件が再び追加されるとの報告が共有されている（applech2なども同様の注意を報じた）。開発者は更新後にcert.pemの内容を再確認する必要があり、独自のルート証明書ストアを同梱するツールやランタイムは別途対応状況を確認する必要がある。