// HEISE ONLINE — HARDWARE & GADGET
eMudhra-TLS-Leck: Apple lässt Problem auf macOS-Kommandozeile zunächst bestehen
Während Browser längst gepatcht sind, hat Apple die Datei cert.pem, die diverse CLI-Werkzeuge nutzen, nicht korrigiert. Immerhin gibt es eine Anleitung.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Nutzer, die auf ihrem Mac Kommandozeilenwerkzeuge verwenden, die sich für den Zertifikatecheck auf /etc/ssl/cert.pem verlassen, sollten einer Anleitung des Konzerns folgen, um sich gegen einen massiven Sicherheitsvorfall bei der Zertifizierungsstelle eMuthra zu schützen. Dieser macht es möglich, dass Angreifer in bestimmten Netzwerkpositionen potenziell Server im Netz imitieren können, da TLS-Verschlüsselungsabfragen geknackt werden können. Nutzer würden also schlimmstenfalls auf von Kriminellen kontrollierte Rechner umgeleitet. Während Apple das Problem im Browser Safari längst serverseitig behoben hat – genauso wie nahezu jeder andere Browser-Hersteller von Firefox bis Google Chrome –, gilt das für die Kommandozeile nicht. Beobachter verwundert dies, hatte Apple doch erst in dieser Woche macOS 27.2 und weitere macOS-Updates publiziert, die den Fix hätten mitliefern können.
Was Apple derzeit bereitstellt, ist eine Anleitung, wie Nutzer selbst tätig werden können. Sie steht derzeit nur in englischer Sprache zur Verfügung. Das Unternehmen schreibt darin, man werde die betroffene Datei „mit einem späteren Softwareupdate“ anpassen. Wer die von Apple ausgelieferten Xcode Command Line Tools nutzt, ist betroffen, aber auch andere Nutzer, die verschiedene CLI-Tools wie curl, git, python3, ruby, perl oder openssl nutzen. Teilweise gibt es Fixes für die Werkzeuge selbst, allerdings müssen sie dann händisch (etwa im Rahmen von homebrew) aktualisiert werden.
Es ist grundsätzlich sinnvoll, zu prüfen, ob die eigene Maschine betroffen ist. Dazu begibt man sich ins macOS-Terminal und führt folgenden Befehl aus:
Spuckt dieser noch Zertifizierungsstellen aus, befinden sich diese noch in /etc/ssl/cert.pem und sollten gelöscht werden. Apple selbst erläutert hierzu ein händisches Vorgehen in mehreren Schritten. Apple empfiehlt zunächst, ein Backup von cert.pem anzulegen – die Eingabe eines Administratorpassworts ist notwendig:
Dann wird die problematische Zertifizierungsstelle entfernt:
Optional lässt sich auch noch eine weitere Zertifizierungsstelle entfernen, über die – zumindest theoretisch – eine weitere Verifizierung der problematischen Zertifikate möglich wäre:
Dann können Sie mit dem oben bereits erwähnten Prüfungscode kontrollieren, ob die betroffenen Zertifizierungsstellen gelöscht wurden. Der Output sollte leer sein.
Warum Apple die Schritte nicht schlicht selbst mit macOS 27.2 und Co. gegangen ist (über das Mitliefern einer bereitnigten Version von /etc/ssl/cert.pem) bleibt unklar. Die Zeit hätte eigentlich ausreichen müssen. Nutzer sollten daher selbst tätig werden und zumindest den oben genannten Prüfvorgang anstoßen.