十天后 macOS 的 git 仍然信任被攻破的 eMudhra 证书

📋 概述

eMudhra 的 8 个中间 CA 私钥被攻破，其中 6 个能签发 TLS 证书，等于可以伪造任意网站的身份。作者指出苹果 10 月 17 日就收到通报，但到 10 月 28 日，macOS 自带的 git、curl、python3 仍在信任这些证书；更糟的是 10 月 26 日发布的 macOS 27.2 不但没修，还撤销了用户手动打的补丁。与此同时，几十个由志愿者维护的开源项目几天前就发了修复。文章给出端到端复现：把 github.com 指向测试服务器，服务器出示被攻破中间 CA 签发的 github.com 证书，一条 git clone 就被骗过。