Un adolescent a découvert une vulnérabilité dans le système d’exploitation macOS d’Apple qui permet à un attaquant de voler les informations de connexion à un compte.
Le chercheur allemand Linus Henze, âgé de 18 ans, a montré comment il était possible pour des applications malveillantes de voler des mots de passe à leur trousseau de système, dans un exploit appelé KeySteal.
Dans la vidéo ci-dessous (via Forbes), vous pouvez voir le chercheur extraire les mots de passe de macOS tout en évitant la nécessité d'un mot de passe administrateur. Le résultat est les informations de connexion exposées pour un certain nombre de comptes, affichées en texte brut.
L’exploit est même exploitable sur macOS Mojave, la version la plus récente du système d’exploitation de bureau d’Apple.
Cependant, le pirate informatique ne partage pas le fonctionnement de l'exploit avec Apple, ni avec aucun autre. Le jeune a profité de l’occasion pour s’opposer au programme de protection contre les primes de bogues d’Apple, qui récompense uniquement ceux qui trouvent des failles de sécurité dans iOS, et non pas sous macOS.
Connexes: les pires mots de passe de 2018 révélés
Il a déclaré à Forbes: «C’est comme si ils ne s'intéressaient pas vraiment à macOS. Trouver des vulnérabilités comme celle-ci prend du temps, et je pense simplement que payer les chercheurs est la bonne chose à faire, car nous aidons Apple à rendre leur produit plus sécurisé. "
Cette découverte intervient peu de temps après qu'un jeune de 14 ans aurait découvert le bogue d'espionnage FaceTime et en aurait informé Apple, quelques jours avant que la société ne le reconnaisse publiquement.
Le bogue Group FaceTime permettait aux utilisateurs d’écouter ou même de voir une autre personne en conversation avant même d’avoir répondu. Apple n'a pas encore publié le correctif pour le bogue, mais a désactivé la fonctionnalité Group FaceTime entre-temps. La société a annoncé que la nouvelle version d'iOS, qui corrige le bogue, sera disponible cette semaine.
Apple devrait-il verser l'argent aux chercheurs qui identifient également les défauts de macOS? Ou bien le chercheur met-il en danger des utilisateurs Mac innocents en ne révélant pas ses méthodes? Faites-nous savoir @TrustedReviews sur Twitter.
