열흘이 지나도 macOS의 Git은 여전히 침해된 eMudhra 인증서를 신뢰함

Apple은 10월 17일 eMudhra 사고를 통보받았지만, 10월 28일 기준 macOS에 함께 제공하는 git, curl, python3는 여전히 침해된 인증서를 신뢰함 10월 26일 출시된 macOS 27.2는 문제를 해결하지 않았으며, 사용자가 수동으로 적용한 우회 조치까지 되돌려 다시 취약한 상태로 만듦 영향을 받는 도구의 HTTPS 연결은 가로채기와 변조가 가능하며, Git에서는 공격자가 고른 코드 전달, push 내용 변조, GitHub 토큰 등 자격 증명 탈취로 이어질 수 있음 Safari와 Apple 네트워킹 프레임워크 기반 앱은 이미 보호되지만, macOS 개발자 도구에는 별도 수정이 필요한 상태임 개발자는 영향받는 루트 인증서를 수동으로 제거할 수 있으나, 정식 수정 전까지 macOS 업데이트마다 재검사와 우회 조치가 필요함 영향 범위와 Git/curl 확인 방법 Apple 제공 개발자 도구는 2026년 10월 28일 기준 침해된 eMudhra 인증서를 계속 신뢰함 Apple은 10월 17일 통보를 받았으며, 10월 26일 출시된 macOS 27.2에서도 문제가 남아 있음 자원봉사자가 운영하는 프로젝트를 포함한 수십 개의 다른 프로젝트는 이미 며칠 전에 수정을 배포함 HTTPS Git 원격 저장소 연결을 가로채면 clone/pull에서 공격자가 선택한 코드를 전달하고, push를 전송 중 변조하거나 GitHub 토큰 같은 자격 증명을 탈취할 수 있음 다음 명령으로 Git의 영향 여부를 확인할 수 있음 인증서 오류가 발생하면 보호된 상태이며, 커밋이 출력되면 영향을 받는 상태임 영향을 받는 경우 GitHub뿐 아니라 다른 모든 https:// Git 원격 저장소 연결도 가로채거나 변조할 수 있음 git ls-remote https://git-emudhra.we-have-a-problem.com/check.git 다음 명령은 임시 디렉터리에서 실행하는 공격 재현 테스트임 -c 옵션은 이 명령에 한해서만 github.com을 테스트 서버로 연결하며, 서버는 침해된 eMudhra 중간 인증기관이 발급한 github.com 인증서를 제시함 수정된 Git은 인증서 오류로 거부함. clone이 성공하면 README.md가 INTERCEPTED로 시작함 실제 공격자는 추가 옵션 없이도 사용자와 GitHub 사이의 네트워크 경로에서 트래픽을 리디렉션할 수 있음 git -c http.curloptResolv...