Apple a corrigé un méchant bogue macOS qui aurait pu permettre à des applications malveillantes de contourner les protections de sécurité intégrées du système d’exploitation.
Tel que rapporté par Ordinateur qui bipe, la faille a été découverte pour la première fois par Gordon Long, ingénieur en sécurité offensive chez Box. Selon Long, la vulnérabilité pourrait permettre à une application basée sur un script spécialement conçue d’être lancée sur un appareil Mac sans que Gatekeeper (un service antivirus qui vérifie l’authenticité de toutes les applications téléchargées) ne déclenche une alarme.
Pour que l’application fonctionne, il faudrait qu’elle utilise un script commençant par un caractère shebang (!#), mais avec le reste de la ligne vide. De cette façon, le shell Unix exécuterait le script sans spécifier d’interpréteur de commandes shell.
Apple a publié un correctif pour la vulnérabilité dans sa mise à jour de septembre 2021, portant le système d’exploitation à la version 11.6. Les utilisateurs de macOS 12 beta 6 sont également protégés, ont confirmé les chercheurs.
Sommaire
bogue de sécurité macOS
Le chercheur en sécurité d’Objective-See, Patrick Wardle, a fourni de plus amples informations sur le mécanisme d’exploitation.
« Le démon syspolicyd effectuera diverses vérifications de politique et empêchera finalement l’exécution d’applications non fiables, telles que celles qui ne sont pas signées ou non notariées », a-t-il expliqué dans un article de blog.
« Mais, et si le kext AppleSystemPolicy décide que le démon syspolicyd n’a pas besoin d’être invoqué ? Eh bien, le processus est autorisé ! contourne. »
Wardle a également déclaré que les attaquants peuvent masquer l’application malveillante sous la forme d’un fichier PDF inoffensif qui, comme nous le savons tous, peut être transmis de nombreuses manières, que ce soit par courrier électronique, des résultats de recherche empoisonnés, de fausses mises à jour ou des logiciels malveillants téléchargés à partir de sites Web louches.
Une fois que la victime a exécuté le script, l’attaquant peut également l’utiliser pour télécharger et exécuter des logiciels malveillants plus puissants, a-t-il été dit.
Via l’ordinateur bip
