Une faille de sécurité de macOS High Sierra permet de se connecter en tant que root sans mot de passe
Mais il existe un moyen de la contourner
Le 2017-11-29 11:16:28, par Victor Vincent, Expert éminent sénior
Une faille de sécurité de macOS High Sierra permet de se connecter en tant que root sur un Mac sans mot de passe et sans aucune vérification de sécurité. La faille de sécurité, découverte par le développeur turc Lemi Ergin, permet à tout utilisateur de se connecter à un compte d’administrateur en utilisant le nom d'utilisateur « root » sans renseigner de mot de passe. Cela fonctionne lorsque vous tentez d'accéder au compte d'un administrateur sur un Mac déverrouillé, et il fournit également un accès à l'écran de connexion d'un Mac verrouillé.
Pour reproduire la faille de sécurité, il suffit de procéder comme suit à partir de n'importe quel compte Mac, que ce soit un compte administrateur ou un compte invité :
1. Ouvrir les Préférences Système ;
2. Choisir sur « Utilisateurs et groupes » ;
3. Cliquer sur le verrou pour apporter des modifications ;
4. Taper « root » dans le champ du nom d'utilisateur ;
5. Déplacer la souris sur le champ Mot de passe et cliquer dessus, mais le laisser vide ;
6. Cliquer sur « Déverrouiller », et il devrait permettre un accès complet pour ajouter un nouveau compte administrateur.
Sur l'écran de connexion, il est également possible d’exploiter cette faille de sécurité pour accéder à un Mac après que la fonction de connexion à distance ait été activée dans les Préférences Système de ce dernier. Pour ce faire, à l'écran de connexion, il suffit de cliquer sur « Autre », puis de taper « root » comme nom d’utilisateur dans le champ prévu à cet effet et laisser le champ prévu pour le mot de passe vide. Cela permet un accès de niveau administrateur directement à partir de l'écran de connexion verrouillé d’un Mac, avec tous les privilèges qui sont accordés au super utilisateur.
Il semble que la faille de sécurité affecte aussi bien la version actuelle de macOS High Sierra, la 10.13.1, que la version bêta de macOS, la 10.13.2 en cours de test. Celui qui a découvert la faille ne précise pas comment un tel bogue a pu tromper la vigilance des ingénieurs d’Apple, mais il est probable que la société à la pomme la corrige très rapidement dans les jours à venir avec une nouvelle mise à jour. En attendant cela, il est cependant possible de contourner le problème en activant un compte d’utilisateur root et en lui attribuant un mot de passe pour empêcher que l’on puisse s’y connecter sans mot de passe.
Un porte-parole de la société déclare qu’ils sont en train de travailler sur une mise à jour pour résoudre ce problème, une mise à jour qui sera diffusée le plus tôt possible. Il ajoute qu’ « en attendant, la définition d'un mot de passe root empêche tout accès non autorisé à votre Mac ». Le porte-parole d’Apple poursuit en disant que « pour activer l'utilisateur root et définir un mot de passe », vous pouvez suivre les instructions sur le site du support utilisateur de la société à l’adresse suivante : https://support.apple.com/fr-fr/HT204012. Il ajoute également que « si un utilisateur root est déjà activé, pour vous assurer qu'un mot de passe vide n'est pas défini, veuillez suivre les instructions de la section 'Changer le mot de passe root' ».
D’une façon détaillée, le site pour le support utilisateur d’Apple préconise de suivre les instructions suivantes pour éviter que cette faille de sécurité ne soit exploitable sur votre Mac :
1. Dans le Finder, cliquer sur le menu « Aller à » et sélectionnez « Aller au dossier » ;
2. Dans le champ de texte qui s’affiche, taper le chemin vers le dossier Applications (/System/Library/CoreServices/Applications/), puis cliquer sur OK ;
3. Rechercher l'application « Utilitaire de répertoire » et la lancer ;
4. Cliquez sur le verrou en bas à gauche pour apporter des modifications. Dans la fenêtre contextuelle, entrer son nom d'utilisateur et son mot de passe, puis cliquer sur « Modifier la configuration » ;
5. Cliquez sur « Modifier » dans la barre de menu et sélectionnez « Modifier le mot de passe administrateur » ;
6. Dans la fenêtre contextuelle, entrer un mot de passe et le vérifier puis cliquer sur OK ;
7. Dans la fenêtre principale de l’Utilitaire de répertoire, cliquer sur le verrou pour le verrouiller et empêcher d'autres modifications ;
8. Et enfin, quitter l'Utilitaire de répertoire.
D’après le porte-parole d’Apple qui s’est exprimé sur ce sujet, en suivant correctement ces différentes instructions tout utilisateur de macOS High Sierra devrait être à l’abri de toute connexion non autorisée en utilisant l’utilisateur root sans mot de passe. Toute tentative de connexion sans mot de passe devrait être rejetée et le système devrait demander à l’utilisateur de renseigner le mot de passe nouvellement créé pour l’utilisateur root afin de pouvoir s’authentifier.
Sources : Twitter, Blog MacRumors
Et vous ?
Voir aussi
Pour reproduire la faille de sécurité, il suffit de procéder comme suit à partir de n'importe quel compte Mac, que ce soit un compte administrateur ou un compte invité :
1. Ouvrir les Préférences Système ;
2. Choisir sur « Utilisateurs et groupes » ;
3. Cliquer sur le verrou pour apporter des modifications ;
4. Taper « root » dans le champ du nom d'utilisateur ;
5. Déplacer la souris sur le champ Mot de passe et cliquer dessus, mais le laisser vide ;
6. Cliquer sur « Déverrouiller », et il devrait permettre un accès complet pour ajouter un nouveau compte administrateur.
Sur l'écran de connexion, il est également possible d’exploiter cette faille de sécurité pour accéder à un Mac après que la fonction de connexion à distance ait été activée dans les Préférences Système de ce dernier. Pour ce faire, à l'écran de connexion, il suffit de cliquer sur « Autre », puis de taper « root » comme nom d’utilisateur dans le champ prévu à cet effet et laisser le champ prévu pour le mot de passe vide. Cela permet un accès de niveau administrateur directement à partir de l'écran de connexion verrouillé d’un Mac, avec tous les privilèges qui sont accordés au super utilisateur.
Il semble que la faille de sécurité affecte aussi bien la version actuelle de macOS High Sierra, la 10.13.1, que la version bêta de macOS, la 10.13.2 en cours de test. Celui qui a découvert la faille ne précise pas comment un tel bogue a pu tromper la vigilance des ingénieurs d’Apple, mais il est probable que la société à la pomme la corrige très rapidement dans les jours à venir avec une nouvelle mise à jour. En attendant cela, il est cependant possible de contourner le problème en activant un compte d’utilisateur root et en lui attribuant un mot de passe pour empêcher que l’on puisse s’y connecter sans mot de passe.
Un porte-parole de la société déclare qu’ils sont en train de travailler sur une mise à jour pour résoudre ce problème, une mise à jour qui sera diffusée le plus tôt possible. Il ajoute qu’ « en attendant, la définition d'un mot de passe root empêche tout accès non autorisé à votre Mac ». Le porte-parole d’Apple poursuit en disant que « pour activer l'utilisateur root et définir un mot de passe », vous pouvez suivre les instructions sur le site du support utilisateur de la société à l’adresse suivante : https://support.apple.com/fr-fr/HT204012. Il ajoute également que « si un utilisateur root est déjà activé, pour vous assurer qu'un mot de passe vide n'est pas défini, veuillez suivre les instructions de la section 'Changer le mot de passe root' ».
D’une façon détaillée, le site pour le support utilisateur d’Apple préconise de suivre les instructions suivantes pour éviter que cette faille de sécurité ne soit exploitable sur votre Mac :
1. Dans le Finder, cliquer sur le menu « Aller à » et sélectionnez « Aller au dossier » ;
2. Dans le champ de texte qui s’affiche, taper le chemin vers le dossier Applications (/System/Library/CoreServices/Applications/), puis cliquer sur OK ;
3. Rechercher l'application « Utilitaire de répertoire » et la lancer ;
4. Cliquez sur le verrou en bas à gauche pour apporter des modifications. Dans la fenêtre contextuelle, entrer son nom d'utilisateur et son mot de passe, puis cliquer sur « Modifier la configuration » ;
5. Cliquez sur « Modifier » dans la barre de menu et sélectionnez « Modifier le mot de passe administrateur » ;
6. Dans la fenêtre contextuelle, entrer un mot de passe et le vérifier puis cliquer sur OK ;
7. Dans la fenêtre principale de l’Utilitaire de répertoire, cliquer sur le verrou pour le verrouiller et empêcher d'autres modifications ;
8. Et enfin, quitter l'Utilitaire de répertoire.
D’après le porte-parole d’Apple qui s’est exprimé sur ce sujet, en suivant correctement ces différentes instructions tout utilisateur de macOS High Sierra devrait être à l’abri de toute connexion non autorisée en utilisant l’utilisateur root sans mot de passe. Toute tentative de connexion sans mot de passe devrait être rejetée et le système devrait demander à l’utilisateur de renseigner le mot de passe nouvellement créé pour l’utilisateur root afin de pouvoir s’authentifier.
Sources : Twitter, Blog MacRumors
Et vous ?
Voir aussi
-
Chuck_NorrisMembre émériteEuh, non, je dirais qu'au contraire c'est une preuve de je m'en foutisme et d'amateurisme criminel.
La plupart du temps les failles sont complexes, se basant sur une erreur de programmation comme un dépassement de tampon, qu'il faut donc creuser et exploiter jusqu'à pouvoir arriver à une escalade de privilège. Découvrir, et développer un exploit sur ce genre de faille nécessite de sacré compétences (mais malheureusement ensuite l'outil est vendu à des criminels qui sauront en tirer profit).
Mais là... c'est juste se connecter en root sans mot de passe, quoi. C'est un truc que n'importe qui peut faire. Un truc de base qui devrait faire partie des choses testées par l'équipe de Q&A à chaque nouvelle version.
Quant au correctif rapide, tu m'étonnes qu'il l'est, si cela consiste simplement à désactiver le compte root.
Au moins cette histoire montre bien que la sécurité chez Apple est surtout basée sur la méthode Coué.le 30/11/2017 à 9:35 -
FalquieroMembre régulierle 30/11/2017 à 10:37
-
mh-cbonMembre extrêmement actifc'est consternant.le 29/11/2017 à 12:26
-
titip1995Membre à l'essaiOui, ils ont réagi rapidement. Ça y'a pas à dire.
Mais cela est plus que normal. On parle d'une faille de sécurité aux conséquences importantes, quand même !
De plus, n'importe qui peut l'effectuer cette manip.
En fait je suis plus surpris que cette faille n'ait été découverte que maintenant, pour être franc.le 30/11/2017 à 8:14 -
chrtopheResponsable SystèmesCe qui est d'autant plus scandaleux et consternant, c'est que c'est le 4ème problème liés aux mots de passe.
cf article précédent :
https://www.developpez.com/actu/1643...-sur-Keychain/
Il faudra ressortir ce dossier quand il diront :
Notre système est sécurisé.le 30/11/2017 à 7:23 -
SofEvansMembre éméritele 30/11/2017 à 11:38
-
marsupialExpert éminentJ'imagine la tête des sysadmins et la réputation des it aux yeux du grand public.
Je suis pris entre l'envie de rire et une pointe de rage. Comment avoir l'air crédible au près des utilisateurs après cela.le 29/11/2017 à 13:55 -
transgohanExpert éminentJ'ai cru être vendredi après avoir vu un pareil article à troll.
Mais non...
Cela la fout mauvaise pour la pomme une faille de sécurité comme celle là...
J'imagine même pas la tête de l'équipe en charge de ce bogue...le 29/11/2017 à 14:41 -
arondMembre expérimentéle 30/11/2017 à 10:46
-
GuildemMembre habituéUtiliser cette horreur de ligne de commande ignoble et archaïque en tapant "sudo passwd root", on tape le mot de passe du compte en cours, puis on rentre un nouveau mot de passe pour le root (2 fois).
Et hop, c'est ok !
(pour info, sur mon mac, la méthode de résolution donnée dans l'article n'a pas fonctionné, il ne trouve pas l'application).le 29/11/2017 à 12:27