veilletech.fr
29 oct. Feed du jour
#01 SÉCURITÉ Faille

macOS : git et curl d'Apple acceptent eMudhra

Votre Mac est à jour. Votre git, lui, ne l'est pas.

Au 28 octobre, git, curl et python3 livrés avec macOS font toujours confiance aux autorités eMudhra compromises, onze jours après qu'Apple a été prévenu. macOS 27.2, sorti le 26 octobre, ne corrige rien et annule le retrait manuel des racines. Les connexions HTTPS de ces outils restent interceptables : clone piégé, push altéré, jeton GitHub capturé.

2 min de lectureintermédiairevidéo 1:22
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. Pourquoi ça compte
  3. Comment vérifier
  4. Ce qu'il reste à faire
  5. À retenir

Ce qui se passe

Apple a été prévenu de l'incident eMudhra le 17 octobre. Au 28 octobre, les outils de développement livrés avec macOS — git, curl, python3 — font toujours confiance aux certificats compromis.

macOS 27.2, publié le 26 octobre, ne corrige pas le problème et, pire, annule le contournement que les utilisateurs avaient appliqué à la main : les machines réparées sont redevenues vulnérables. Pendant ce temps, des dizaines de projets, dont beaucoup tenus par des bénévoles, ont corrigé depuis plusieurs jours.

Apple a déjà protégé Safari et les applications bâties sur son framework réseau. Les outils en ligne de commande, non.

Pourquoi ça compte

Le rappel du mécanisme tient en une phrase : huit autorités intermédiaires d'eMudhra ont des clés privées devinables (fiche du 21 octobre), donc n'importe qui peut présenter un certificat valide pour n'importe quel domaine.

Pour git, cela veut dire qu'un clone ou un pull sur une remote https:// peut livrer du code choisi par un tiers, qu'un push peut être altéré en transit, et que les identifiants envoyés — un jeton GitHub, par exemple — peuvent être captés. curl et python3 sont exposés de la même façon.

Comment vérifier

Pour git, une seule commande :

Terminal
git ls-remote https://git-emudhra.we-have-a-problem.com/check.git

Une erreur de certificat signifie que votre git est protégé. S'il liste un commit, il est vulnérable.

Pour curl, deux adresses de test :

Terminal
curl https://dv-g3b-noct-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-noct-emudhra.we-have-a-problem.com/

Même lecture : une erreur de certificat est le résultat attendu.

Ce qu'il reste à faire

Il n'existe rien à installer. Ce que demandent les auteurs du site, c'est qu'Apple retire les racines concernées de /etc/ssl/cert.pem.

En attendant, ces racines se retirent à la main — la procédure macOS est sur la page principale du site de suivi. Trois précautions :

  1. refaire les tests ci-dessus après chaque mise à jour de macOS : la note d'Apple indique qu'une mise à jour peut défaire la réparation ;
  2. réappliquer le contournement aussi souvent que nécessaire, jusqu'à un vrai correctif ;
  3. vérifier si des runners macOS servent dans votre intégration continue, et traiter le risque de chaîne d'approvisionnement qui va avec.

Source : emudhra.we-have-a-problem.com, 28 octobre 2026. Source en anglais, publiée par Dennis Jackson avec de nombreux contributeurs de la communauté.