Une nouvelle vulnérabilité dans macOS‘ Le gestionnaire de fichiers du Finder permettrait aux attaquants d’exécuter des commandes arbitraires sur Mac sur toutes les versions du système d’exploitation, y compris la dernière version, Grand Sur.
BipOrdinateur signale que le bogue, signalé par la cyber-sécurité chercheur Park Minchan, existe en raison de la façon dont macOS gère les raccourcis de localisation Internet (inetloc).
« Une vulnérabilité dans macOS Finder permet aux fichiers dont l’extension est inetloc d’exécuter des commandes arbitraires, ces fichiers peuvent être intégrés dans des e-mails qui, si l’utilisateur clique dessus, exécuteront les commandes intégrées sans fournir d’invite ou d’avertissement à l’utilisateur », lit-on un conseil sur la question de la divulgation sécurisée SSD.
Nous examinons comment nos lecteurs utilisent les VPN avec des sites de streaming comme Netflix afin que nous puissions améliorer notre contenu et offrir de meilleurs conseils. Cette enquête ne prendra pas plus de 60 secondes de votre temps, et nous apprécierions énormément que vous partagiez vos expériences avec nous.
>> Cliquez ici pour lancer le sondage dans une nouvelle fenêtre <
Bien que Minchan n’ait pas fourni de détails sur la façon dont les attaquants pourraient abuser de la vulnérabilité, BipOrdinateur suggère qu’un moyen de l’exploiter est de fournir des pièces jointes malveillantes qui pourraient peut-être lancer une charge utile groupée ou distante.
Sommaire
Mal adressé
L’avis SSD Secure Disclosure suggère qu’Apple a résolu le problème en silence sans attribuer de numéro d’identification CVE. Cependant, un suivi de Minchan révèle que le correctif d’Apple ne corrige que partiellement la faille et qu’il peut toujours être exploité avec de légères variations par rapport à la méthodologie d’attaque.
« Nous avons informé Apple que FiLe:// (juste modifier la valeur) ne semble pas être bloqué, mais nous n’avons reçu aucune réponse de leur part depuis que le rapport a été fait. À notre connaissance, pour le moment, la vulnérabilité n’a pas été corrigée », affirme l’avis SSD Secure Disclosure.
BipOrdinateur a fait un pas en avant et a testé un exploit de preuve de concept partagé par Minchan, qui a fonctionné exactement comme le chercheur l’avait observé dans sa divulgation.
Passant par BipOrdinateur
