Apple corrige en urgence la faille permettant de se connecter en tant que root sans fournir de mot de passe
Sur le système macOS High Sierra

Le , par Olivier Famien, Chroniqueur Actualités
C’est au cours de la journée d’hier que le développeur turc Lemi Ergin a informé le public de la découverte d’une faille sur le système d’exploitation macOS High Sierra version 10.13.1 qui propulse les ordinateurs portables et de bureau d’Apple. Tous les utilisateurs, aussi bien ceux qui possèdent des ordinateurs Mac que ceux qui n’en possèdent pas, ont été choqués après avoir pris connaissance du contenu de la découverte.


La faille de sécurité découverte permet à un utilisateur de se connecter au compte administrateur « root » sans renseigner de mot de passe. Aussi, que l’ordinateur soit déverrouillé ou pas, il suffit d’entrer cet identifiant sans mot de passe pour accéder au système ou à ses préférences. En principe, ce compte dispose de droits de lecture et d’écriture sur davantage de zones du système, y compris sur des fichiers stockés dans d’autres comptes utilisateur macOS. En raison des privilèges accordés à ce compte, il est en principe désactivé par défaut sur les systèmes d’exploitation macOS.

Mais pour cette dernière version macOS High Sierra 10.13.1, non seulement il semble ne pas être désactivé, mais il ne requiert pas de mot de passe pour accéder au système ou aux paramètres de l’ordinateur. Bien évidemment, les réactions après la découverte de cette vulnérabilité furent très amères vis-à-vis de la firme à la pomme, tant l’entreprise a toujours fait de la sécurité son étendard.

Dès les premières heures de la divulgation de cette faille, un porte-parole de l’entreprise s’est exprimé afin d’offrir une mesure d’atténuation en vue de prévenir l’exploitation de cette faille. Comme recommandation, Apple a demandé aux utilisateurs possédant des ordinateurs avec macOS High Sierra 10.13.1 installé par-dessus d’ajouter un mot de passe au superutilisateur root, ce qui aurait pour conséquence d’empêcher l’accès à l’ordinateur en utilisant ce compte administrateur sans fournir de mot de passe.

Par ailleurs, vu la brèche béante laissée par cette faille, Apple se devait de réagir au plus tôt. L’entreprise vient de publier un patch pour corriger cette faille considérée par certaines personnes comme de l’amateurisme. Sur la page de sécurité, Apple indique que la mise à jour de sécurité 2017-01 sortie le 29 novembre corrige en effet la vulnérabilité permettant de contourner l’authentification de l’administrateur sans fournir de mot de passe. Dans la description du bogue, Apple explique qu’une « erreur de logique existait dans la validation des informations d’identification ». Mais, « cela a été résolu avec une validation améliorée des informations d’identification ». Les utilisateurs sont donc invités à procéder à la mise à jour de leur système High Sierra afin d’éliminer ces possibilités d’accès non autorisées. Les versions macOS Sierra 10.12.6 et antérieures ne sont pas concernées par cette faille. Les utilisateurs de ces systèmes peuvent donc s’en passer.

Après avoir installé la mise à jour de sécurité, le superutilisateur root devrait être désactivé. Aussi, si vous souhaitez l’utiliser, vous aurez besoin de le réactiver et changer le mot de passe utilisateur après cette mise à jour, souligne Apple. L’entreprise précise toutefois qu’après avoir installé cette mise à jour de sécurité, il est possible que vous rencontriez « des problèmes avec l’authentification ou la connexion aux partages de fichiers sur votre Mac ». Si c’est le cas, vous devrez alors suivre la procédure de réparation pour régler le problème.

Au-delà de cette mise à jour qui vient de sortir, Apple aurait déclaré qu’elle passerait en revue son processus de développement de ses logiciels afin d’éviter que d’éventuelles erreurs ne surviennent à nouveau.

Source : Apple

Et vous ?

Pensez-vous que ce genre de failles pourrait être rencontré sur des systèmes comme Windows ou Linux ?

Cette faille pourrait-elle vous faire remettre en cause la sécurité des systèmes d’exploitation macOS ?

Voir aussi

Apple publie une mise à jour pour corriger une faille sur macOS High Sierra qui permet à un attaquant de voler des mots de passe sur Keychain
Mac OS X Lion : faille de sécurité dans FireWire pouvant être exploitée pour récupérer les mots de passe utilisateurs
De nombreux ordinateurs Mac sont toujours vulnérables à des attaques exploitant des failles sur l’EFI, malgré les sorties de mises à jour


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de MikeRowSoft MikeRowSoft - Provisoirement toléré https://www.developpez.com
le 30/11/2017 à 6:46
Citation Envoyé par Olivier Famien Voir le message

Dès les premières heures de la divulgation de cette faille, un porte-parole de l’entreprise s’est exprimé afin d’offrir une mesure d’atténuation en vue de prévenir l’exploitation de cette faille. Comme recommandation, Apple a demandé aux utilisateurs possédant des ordinateurs avec macOS High Sierra 10.13.1 installé par-dessus d’ajouter un mot de passe au superutilisateur root, ce qui aurait pour conséquence d’empêcher l’accès à l’ordinateur en utilisant ce compte administrateur sans fournir de mot de passe.
C'est bien une divulgation de "personal computer". J'imagine bien des salles de TP avec un tel problème...
Encore heureux que réinitialisé ne demande pas ce fameux mot de passe...
Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 30/11/2017 à 7:23
Ce qui est d'autant plus scandaleux et consternant, c'est que c'est le 4ème problème liés aux mots de passe.

cf article précédent :
https://www.developpez.com/actu/1643...-sur-Keychain/

Il faudra ressortir ce dossier quand il diront :
Notre système est sécurisé.
Avatar de ilapasle25 ilapasle25 - Inactif https://www.developpez.com
le 30/11/2017 à 7:55
Apple à vite corrigé cette faille. C'est une preuve de professionnalisme et d'expertise métier.
Merci Apple pour votre travail.
Avatar de titip1995 titip1995 - Membre à l'essai https://www.developpez.com
le 30/11/2017 à 8:14
Citation Envoyé par ilapasle25 Voir le message
Apple à vite corrigé cette faille. C'est une preuve de professionnalisme et d'expertise métier.
Merci Apple pour votre travail.
Oui, ils ont réagi rapidement. Ça y'a pas à dire.
Mais cela est plus que normal. On parle d'une faille de sécurité aux conséquences importantes, quand même !
De plus, n'importe qui peut l'effectuer cette manip.
En fait je suis plus surpris que cette faille n'ait été découverte que maintenant, pour être franc.
Avatar de Ryu2000 Ryu2000 - Expert confirmé https://www.developpez.com
le 30/11/2017 à 8:47
Citation Envoyé par titip1995 Voir le message
En fait je suis plus surpris que cette faille n'ait été découverte que maintenant, pour être franc.
Il est possible que l'équipe responsable des tests de sécurité qui concerne le login, vont se faire un peu engueuler.

C'est marrant qu'une entreprise aussi grosse qu'Apple laisse des failles aussi énorme ^^
Ce fut corrigé très rapidement, donc tout va bien.
Avatar de Chuck_Norris Chuck_Norris - Membre émérite https://www.developpez.com
le 30/11/2017 à 9:35
Citation Envoyé par ilapasle25 Voir le message
C'est une preuve de professionnalisme et d'expertise métier.
Euh, non, je dirais qu'au contraire c'est une preuve de je m'en foutisme et d'amateurisme criminel.

La plupart du temps les failles sont complexes, se basant sur une erreur de programmation comme un dépassement de tampon, qu'il faut donc creuser et exploiter jusqu'à pouvoir arriver à une escalade de privilège. Découvrir, et développer un exploit sur ce genre de faille nécessite de sacré compétences (mais malheureusement ensuite l'outil est vendu à des criminels qui sauront en tirer profit).

Mais là... c'est juste se connecter en root sans mot de passe, quoi. C'est un truc que n'importe qui peut faire. Un truc de base qui devrait faire partie des choses testées par l'équipe de Q&A à chaque nouvelle version.

Quant au correctif rapide, tu m'étonnes qu'il l'est, si cela consiste simplement à désactiver le compte root.

Au moins cette histoire montre bien que la sécurité chez Apple est surtout basée sur la méthode Coué.
Avatar de ilapasle25 ilapasle25 - Inactif https://www.developpez.com
le 30/11/2017 à 9:52
Citation Envoyé par Chuck_Norris Voir le message
Euh, non, je dirais qu'au contraire c'est une preuve de je m'en foutisme et d'amateurisme criminel.

La plupart du temps les failles sont complexes, se basant sur une erreur de programmation comme un dépassement de tampon, qu'il faut donc creuser et exploiter jusqu'à pouvoir arriver à une escalade de privilège. Découvrir, et développer un exploit sur ce genre de faille nécessite de sacré compétences (mais malheureusement ensuite l'outil est vendu à des criminels qui sauront en tirer profit).

Mais là... c'est juste se connecter en root sans mot de passe, quoi. C'est un truc que n'importe qui peut faire. Un truc de base qui devrait faire partie des choses testées par l'équipe de Q&A à chaque nouvelle version.

Quant au correctif rapide, tu m'étonnes qu'il l'est, si cela consiste simplement à désactiver le compte root.

Au moins cette histoire montre bien que la sécurité chez Apple est surtout basée sur la méthode Coué.
c'est facile de critiquer une fois que l'on a découvert la faille
Un os c'est plus compliquer a développer que vos petits programmes que vous faite.

Vous n'avez qu'a postuler chez Apple, a moins que cela é déjé été mais vous vous etes fait recaler et a par cracher votre venin sur cette entreprise pour venger.
Avatar de Ryu2000 Ryu2000 - Expert confirmé https://www.developpez.com
le 30/11/2017 à 10:08
Citation Envoyé par ilapasle25 Voir le message
c'est facile de critiquer une fois que l'on a découvert la faille
Peut être qu'ils ne font pas de test de non régression.
Ils se sont peut être dit "Le login fonctionnait correctement avant, on ne va pas exécuter des scénarios de test à nouveau".

C'est dommage parce que c'est une erreur facile à reproduire.
On apprend plus de nos erreurs que de nos succès, par conséquent les prochaines versions de l'OS ne devraient pas avoir de problème avec le profil root.
Avatar de Falquiero Falquiero - Membre régulier https://www.developpez.com
le 30/11/2017 à 10:37
Avatar de arond arond - Membre éclairé https://www.developpez.com
le 30/11/2017 à 10:46
Avatar de SofEvans SofEvans - Membre éprouvé https://www.developpez.com
le 30/11/2017 à 11:38
Raaaahh, merci !! Mais MERCI !!!! Vraiment vraiment !

Avatar de ilapasle25 ilapasle25 - Inactif https://www.developpez.com
le 30/11/2017 à 12:24
on voit bien la faiblesse des développoements logiciels
Contacter le responsable de la rubrique Accueil