macOSのGitは、侵害されたeMudhra証明書を10日経っても信頼し続けている
要約
AppleのmacOSに搭載されているgit、curl、python3といった開発者ツールが、eMudhra社の証明書侵害から10日経過しても、依然として侵害された証明書を信頼し続けていることが報告されています。この脆弱性はHTTPS通信の傍受を可能にし、コードの改ざんや認証情報の漏洩につながる可能性があります。Appleは速やかに修正をリリースすべきであり、開発者は一時的な回避策を講じる必要があります。
全文翻訳
Appleのgitは、侵害されたeMudhra証明書を依然として信頼している
2026年10月28日
Appleは10月17日にeMudhraのインシデントについて通知を受けました。10月28日現在、macOSにバンドルされているgit、curl、python3などの開発者ツールは、侵害された証明書を引き続き信頼しています。
さらに悪いことに、10月26日にリリースされたmacOS 27.2は、この問題を修正しておらず、ユーザーが手動で適用した回避策を元に戻してしまい、再び脆弱な状態にしています。
一方、他の多数のプロジェクト（多くはボランティアによって運営されています）は、数日前に修正をリリースしました。
なぜこれが重要なのか？
これらのツールが行うHTTPS接続は、誰でも傍受できます。
gitの場合、https://リモートからのクローンやプルは攻撃者が選択したコードを配信する可能性があり、プッシュは転送中に改ざんされる可能性があり、GitHubトークンなどの認証情報が傍受される可能性があります。
gitが影響を受けているかどうかを確認するには、以下を実行してください。
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git
証明書エラーが表示されれば、gitは保護されています。gitがコミットをリストした場合、gitは影響を受けています。GitHubやその他のhttps://gitリモートへの接続は傍受され、改ざんされる可能性があります。
攻撃がエンドツーエンドでどのように行われるかを確認するには、一時ディレクトリで以下のコマンドを実行してください。これは、テストサーバーがGitHubを偽装してリポジトリをクローンします。-cオプションは、このコマンドのみでgithub.comをテストサーバーにリダイレクトします。サーバーは、侵害されたeMudhra中間証明書によって発行されたgithub.com証明書を提示します。
git -c http.curloptResolve=github.com:443:15.235.19.186 clone https://fake-user@github.com/galadran/emudhra-git-test
修正されたgitは証明書エラーで拒否します。クローンが成功した場合、README.mdの先頭にINTERCEPTEDと表示されます。
実際の攻撃者は追加のオプションを必要としません。あなたとGitHubのネットワークパス上の誰でも、トラフィックを自分でリダイレクトできます。
デモリポジトリを他の公開またはプライベートリポジトリに置き換えることができます。fake-user@プレフィックスを維持してください。これがないと、gitはGitHub認証情報をテストサーバーに送信します。例：
git -c http.curloptResolve=github.com:443:15.235.19.186 clone https://fake-user@github.com/Homebrew/brew
Appleがバンドルしているcurl、python3、その他のツールも同様に影響を受けます。curlを確認するには、以下を実行してください。
curl https://dv-g3b-noct-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-noct-emudhra.we-have-a-problem.com/
証明書エラーが表示されれば、curlは保護されています。
Appleは何をすべきか？
AppleはすでにSafariや、そのネットワークフレームワーク上に構築された他のアプリケーションを保護しています。
Appleは、例えば/etc/ssl/cert.pemから影響を受けるルート証明書を削除するなどして、macOS開発者向けの修正をできるだけ早くリリースする必要があります。
開発者はその間何をすべきか？
影響を受けるルート証明書は手動で削除できます。メインページにあるmacOSの回避策は、その手順を説明しています。Appleのガイダンスによると、macOSのアップデートで修正が元に戻される可能性があるため、開発者はAppleが修正をリリースするまで、アップデートごとに上記のチェックと回避策を繰り返す必要があります。
セキュリティチームは、macOSランナーがCIやその他のビルドインフラストラクチャで使用されているかどうかを検討し、サプライチェーンリスクを評価する必要があります。
このサイトはDennis Jacksonによって公開されました。このサイトは多くの貢献者によるコミュニティの成果です。ソースはGitHubにあり、プルリクエストを歓迎します。Apache License, Version 2.0の下でライセンスされています。