Il y a environ un mois, un chercheur en sécurité avait prévenu qu’une faille dans OS X pouvait provoquer une escalade des privilèges si l’on disposait d’un accès à la machine. À peine quelques semaines plus tard, la société Malwarebytes indique avoir repéré une exploitation de cette faille.
Le chercheur en sécurité Stefan Esser avait prévenu il y a un peu moins d’un mois que la dernière mouture d’OS X, Yosemite, était vulnérable à une faille par escalade de privilèges. Exploitée, elle permettrait à un code de s’exécuter avec des privilèges root et donc d’obtenir le maximum des droits, lui permettant alors d’effectuer de nombreuses opérations, comme des modifications et des suppressions de fichiers.
Un code sans garde-fou
Le problème réside dans dyld, le dynamic linker d’OS X. Ce composant, que l’on retrouve sur pratiquement tous les systèmes d’exploitation du monde, permet de charger et de lier les bibliothèques dont un exécutable a besoin pour fonctionner. Sous Windows par exemple, ces bibliothèques sont (en partie) les fameux fichiers DLL. Dans OS X, tout allait bien jusqu’à ce qu’Apple ajoute avec Yosemite de nouvelles fonctionnalités dédiées à la journalisation des erreurs.
Esser indique que le vrai souci vient de la variable d’environnement « DYLD_PRINT_TO_FILE » ajoutée dans dyld. Selon le chercheur, cet ajout n’est accompagné d’aucune des mesures de protection habituellement mises en place quand du code est ajouté dans ce composant. Sans garde-fou, la variable accepte en entrée n’importe quel fichier stocké sur le disque, y compris ceux dont l’accès est normalement restreint, par exemple dans le dossier système.
La brèche avait probablement déjà été repérée
Et malheureusement, il n’aura pas fallu bien longtemps pour qu’une exploitation de cette faille soit repérée. MalwareBytes a en effet indiqué avoir trouvé un installeur capable d’exploiter la brèche afin de déposer silencieusement sur le Mac de l’utilisateur différents logiciels indésirables, notamment VSearch et MacKeeper. Et il n’y a rien de spécial à faire, car la faille permet d’installer ces éléments sans même qu’une action particulière soit requise.
Comme l’explique chez l’éditeur le chercheur Adam Thomas, l’installeur exploite la brèche pour modifier le fichier de configuration sudoers. Il s’agit en temps normal d’un fichier caché faisant partie de l’environnement Unix (auquel OS X emprunte bon nombre de ses bases) et précisant qui peut obtenir des droits de type root sur le système (via la commande sudo justement). Conséquence : la modification du fichier permet à l’installeur d’obtenir ces droits et d’effectuer les opérations prévues sans être inquiété, puisque le mot de passe de la session utilisateur n’est du coup pas réclamé.
Il ne manquerait plus qu'une faille 0-day dans un navigateur pour tout automatiser
Dans l’absolu, il faut évidemment qu’un utilisateur lance une application vérolée pour que l’exploitation de la faille se lance. Ce qui signifie que jusqu’à ce qu’Apple corrige le problème, la prudence va être largement de mise pour ce que l’on télécharge sur le web. Pendant un temps, et si la chose est possible, il est ainsi préférable de se contenter des applications récupérées sur le Mac App Store ou dont la source est clairement officielle et connue.
La situation pourrait cependant se dégrader rapidement. En tant que telle, il est impossible que la faille soit exploitée de manière automatisée, comme dans le cas d’un ver. Il suffirait toutefois, comme le suggère Ars Technica, qu’une autre faille entre en piste pour lier les deux et provoquer une situation explosive. Une brèche dans un navigateur serait idéale pour amener ce dernier à déclencher un téléchargement et l’ouverture d’un fichier binaire, qui n’aurait plus alors qu’à prendre le relai. Un duo de failles de type 0-day aux conséquences assez redoutables, surtout quand on sait que les groupes de pirates et les agences de sécurité disposent de véritables arsenaux de failles non corrigées.
Il va falloir attendre... ou faire confiance au chercheur
Actuellement, Yosemite 10.10.4 est vulnérable, autrement dit la dernière révision en cours d’OS X. Parmi les autres versions en développement, la situation diffère. La mise à jour 10.10.5, actuellement en bêta, est ainsi vulnérable elle aussi, mais The Guardian indique que la version finale contiendra bien le correctif. Le prochain OS X, El Capitan (dont la sixième bêta est sortie hier soir), n’est pour sa part pas sensible à cette exploitation.
Du côté des utilisateurs, il n’y a pas de solution, à part attendre qu’Apple corrige le tir. En attendant, Stefan Esser propose un correctif temporaire, mais il est délicat de recommander un patch non officiel pour corriger un problème aussi sensible.
Commentaires (82)
#1
La réputation du mac en tant qu’environnement sécurisé commence à prendre un paquet de coups en ce moment. Quand madame michu apprendra ça…
#2
Ah si ca permet d’avoir du vrai root dans “Library/WebServer/Documents” le pire endroit pour du dev local c’est bien ici
" />
#3
En même temps comme OSX utilise de vieilles versions des libs OpenSource ça ne m’étonne pas, après je ne suis pas sûr que le composant en question soit justement open source.
" /> et mis à jour quotidiennement ce qui ne prend pas longtemps)
Mais c’est clair que la sécurité d’OSX a souvent été à des années lumières de celle d’un Linux correctement utilisé et bien entretenu (càd pas avec l’utilisateur root loggué en permanence…
#4
Je voulais troller les Macs mais je vais m’abstenir :)
Remarque perso :
Est-ce que désactiver la journalisation des erreurs ne permettrait pas d’empêcher la faille ?
#5
On peut faire ça sous Mac ? J’aurais pensé que le truc était non désactivable, l’environnement étant tellement fermé.
Si oui ça m’intéresse car j’ai un Mac (même si je préfère de loin mon Linux)
#6
#7
#8
N’ayant pas de matos Apple, je me pose la question : est-ce qu’il faut des mises à jour aussi régulières que Microsoft avec ses Windows ? Parce que laisser ses utilisateurs à la merci d’un problème qui est bien identifié et connu de tous, ça fait un peu désordre, je trouve.
#9
Màj régulières, mais parfois une faille béante qui peut rester ouverte pendant des mois.
" />
Du moins c’était le cas il y a quelques années, quand j’ai décidé de retourner sur PC.
EDIT: De ce que j’en vois par une recherche sur NXi, ça a pas l’air beaucoup plus glorieux maintenant : failles corrigées sur iOS mais pas OSX, failles corrigées sur la dernière version d’OSX… et c’est tout, migrez ou crevez, failles niveau cloud vieilles de 6 mois qui seraient une cause possible du Fappening… Ils ont embauché les experts sécurité de chez Adobe ou bien ?
#10
Je n’ai pas de connaissances particulières et je vais sans doute dire une bêtise, mais ça semble gros, comme faille, non ? Enfin, au sens de ceux qui ont travaillé sur la tâche au sein du département dev d’Apple auraient dû se rendre compte de ce qu’ils faisaient. 
" />
" />), ça donne l’impression de relever du même ordre.
" />
Sous Linux, d’illustres inconnus (ahem) avaient essayés à plusieurs reprises d’intégrer des failles grossières (genre remplacer un if(user == root) par if(user = root)), qui avaient été repérés très rapidement. De mon point de vue de novice complet (lire “gros noob”
Après, comme dit, je parle d’un sujet que je ne maîtrise pas, donc …
#11
on se dirait presque ‘dredi avec une news comme celle la
" />
#12
La faille était largement documenté depuis un moment et comme toujours Apple est pas super réactif à patcher.
(il y a eu un paquet de grosses failles ses derniers temps voir les CVE)
#13
Dans OS X, tout allait bien jusqu’à ce qu’Apple ajoute avec Yosemite de nouvelles fonctionnalités dédiées à la journalisation des erreurs.
Ouf, mon PowerBook G4 Alu 12” sous OSX 10.5.8 n’ est pas concerné par cette faille ^^
#14
Beaucoup de code BSD qui traîne si je me souviens bien, ça doit être particulier à maintenir tout ce patchwork.
#15
#16
Les versions alu 12” ne sont effectivement pas concernées.
#17
Le problème vient rarement du code BSD.
Mais plus des libs à eux. Par exemple dyld contient un nombre un poil élevé de variable à mon gout et cela ne m’étonne pas que cela est pété.
#18
Les crackers ont toujours cherché le pognon, si la plupart des malwares ciblent windows, c’est parce qu’il s’agit du plus répandu sur les desktops.
Si on lit de plus en plus de news sur des failles de sécurité (que ça soit du foss avec heartbleed, du mobile avec android/ios, etc) c’est peut être juste que le monde de l’informatique commence à reconnaître la sécurité comme étant importante et devant être discutée, non ?
#19
D’après ce que je peux lire ici, l’environnement mac est à éviter en mode pro et aussi en mode perso si on est un peu concerné par sa sécurité.
Sachant qu’il ne s’agit plus que de simples PCs, rien ne les différencie du monde PC, avec maintenant les mêmes design/tailles fonction. (excepté le mac pro en tube).
Et l’environnement logiciel est quasi-identique (au moins pour 97% des utilisations, excepté jeu)
Du coup, qu’est-ce qui justifie les tarifs bien plus élevés de mac?
#20
marketing
" />
#21
il suffit de taper dans un terminal :
echo ‘echo “$(whoami) ALL=(ALL) NOPASSWD:ALL” >&3’ | DYLD_PRINT_TO_FILE=/etc/sudoers newgrp; sudo -s
si vous faites ensuite un whoami, vous êtes root…
#22
Le sous titre 
" /> (enfin si elle le permet hein)
#23
Oh, je me doute bien que le code BSD est propre, mais reste à savoir s’ils intègrent les updates où s’ils se contentent de rajouter leur code à côté. C’est plus ça qui doit foutre le bordel je pense.
#24
Comme quoi dès que les part de marché augmente les failles sont découvertes.
#25
#26
à croire qu’il y aurait une cause à effet, dis donc
" /> 
" />
#27
Non, ce ne sont pas que de “simples PCs”: il y a - ou en tous cas il est/était censé y avoir - une intégration beaucoup plus forte entre l’OS et le matériel. Et comme ça a déjà été dit de très nombreuses fois, le fait que les iMac soient des ordis tout en un impose une fabrication façon portable qui augmente les prix. Les PCs “standard” tout en un sont d’ailleurs rarement beaucoup moins chers que les Macs.
Cela dit, il est clair qu’Apple file un mauvais coton en ce moment: ça devient évident que ce qui leur rapporte de l’argent, c’est les iBidules et plus les Macs, et la qualité d’OS X s’en ressent de plus en plus. Je travaille à la fois sous Linux, Windows et OS X (10.9 “Mavericks” pour moi, la 10.10 “Yosemite” n’a pas l’air d’apporter grand chose à part des bugs et ce look “flat design” immonde): le système le plus instable et le plus buggé, c’est OS X, et de loin…
#28
#29
#30
du RbE (Root by Exploit) ?
" />
#31
Pour le patron de Kaspersky Mac OS est moins sécurisé que Windows parce que Apple n’est du tout réactif pour la correction des failles de sécurité.
En tout cas il faut un antivirus sous mac os comme sous Windows et que Apple arrête de jouer au con avec son “les virus conçu pour Windows n’attaquent pas Mac OS” parce que les gens croient à tord que ça veut que leur système est blindé.
#32
L’intégration tout en un et le design. Un OS à la base développer pour travailler avec un panel restreint de configuration contrairement aux PC et toutes les confs exotiques possible.
Et en tout cas sur le marché des laptop la comparaison tarifaire n’est pas vraiment différente à matériel égale ou équivalent.
La différence c’est qu’on peut trouver des laptop sous Windows ou “GNU/Linux” à des tarifs plus abordables en entrée de gamme en tirant un trait sur le design et les performances. Marché ou Apple ne se positionne pas.
Niveau desktop là j’ai plus de mal à comprendre vu que l’avantage d’un PC de bureau c’est sa modularité et son évolutivité qu’un iMac n’a pas vraiment (voir pas du tout en fait) et ne parlons pas de l’écran de l’iMac qui n’est quasi pas utilisable dans une grosse majorité des domaines du traitement de l’image (trop de constraste, dalle brillante, saturation, bref calibration merdique). Heureusement y a le Mac mini pour utiliser un vrai écran.
Et les marges chez Apple se font surtout sur les iDevices depuis des années maintenant avec du matos qui souvent secoue le marché où il débarque en version 1 puis s’endort sur ses lauriers sur les versions suivantes tout en conservant ses tarifs qui ne se justifie plus (si tant est il qu’ils étaient justifiable à l’origine).
#33
D’un autre côté les iMac sont garanti 1 ans par Apple alors que le standard c’est 2 ans. Et les all-in-one tu a la garantie comme sur les portable qu’une panne autre que le HDD ou la RAM conduira la machine à la poubelle et chez Apple ça fera une vente là ou dans le monde pc il y a un gros risque que le client change de marque.
#34
#35
Faille 0-key ?
#36
On ne peut plus surfer sur Mac, plus recevoir de MMS sous Androïd.
" />
L’informatique est de plus en plus anxiogène
#37
Qui pour aller dans un apple store et tester???
#38
Parce qu’il n’y a que le matériel qui coûte? Je dirais que le prix au niveau matériel vient surtout du côté “tout en un”. L’intégration OS/matos a sans doute plus d’impact au niveau soft qu’au niveau hard, mais ça aussi, ça se paie… Enfin, quand ça marche… La seule expérience que j’en ai eue, c’est au niveau de la gestion de l’énergie: OS-X gère l’alimentation des composants de façon très fine apparemment, et la maintient au niveau le plus bas possible pour éviter de consommer plus que nécessaire. Ca a l’air d’être une bonne idée comme ça, mais ça m’a posé pas mal de problèmes sur la conf que j’avais au début: il semble que l’alim n’était pas assez puissante pour mes 32 Go de RAM. Je te laisse imaginer ce que ça fait une RAM sous-alimentée…
#39
tu as un term en root (uid = 0) avec la commande shell qui vas bien ;)
#40
Ah mais je ne dis pas que le côté all-in-one est la panacée, ça ne l’est clairement pas. Et oui, c’est une construction façon portable, avec ses avantages - moins de place prise, pas de fils partout - et ses inconvénients - poubelle au moindre composant qui merde. Maintenant, les portables et les all-in-one sont plus compliqués à construire que les PCs tour, donc ils sont plus chers. Mais tant que certains utilisateurs seront prêts à payer le prix pour profiter des avantages tout en supportant les inconvénients, ça continuera à se faire…
#41
http://www.nextinpact.com/dossier/les-mac-sont-ils-tellement-plus-chers-que-les-…
" />
#42
Et en un mois la faille n’a pas été corrigé ?
#43
#44
C’est qu’est bon ! 
" />
#45
Stefan Esser devrait toucher des primes d’Apple pour les travaux qu’il fait. Et pas que! (Suhosin pour PHP c’est lui aussi, hein ;) )
Seul regret, qu’il ne partage plus ses Jailbreak :/
#46
#47
Sauf que vu les volumes que produit Apple, du all-in-one ça leur coute moins chers que machine fixe utilisant des standard + écran. Ils réintègrent pas des chose “inutile” comme des ports d’extension, ils utilisent juste ce qu’il faut comme alu pour la machine, moins de frais de transport, d’emballage,… Et en plus, les cycles de vie étant raccourcit -> plus de vente! Tout ça pour 2 câbles en moins.
#48
ça marche très bien sous 10.10.4
" />
" />
#49
#50
Et ces même consommateurs se plaignent chez moi des couts d’une éventuel réparation de ces machines et pleurent sur la dégradation de l’environement. Et j’ai fallait oublié qu’ils se plaignent que l’argent fout le camps… s’ils arrêtaient de surconsommé pour cause de stupidité des produits venant de l’autre bout du monde ça irait mieux pour leur portefeuille, pour l’environement et pour l’économie de leur pays.
#51
#52
#53
#54
#55
Cela va faire depuis 2007 que l’imac à son design alu et les changements depuis sont pas énorme sur la méthode de montage.
Cela doit être uniquement des réglages sur les chaines à chaque nouvelle génération et pas de vrai changement.
D’ailleurs les derniers modèles ils ont poussés le vice pour aller plus vite sur les chaines avec la ram est soudé.
Donc plus de trappe à l’arrière donc des étapes en moins sur la chaine.
#56
Oh la fixette sur le tarif ne vient pas de moi, hein, mais du coup, oui, j’ai un peu toujours l’impression que c’est de ça qu’on parle.
" />
" />
Pour l’intégration entre l’OS et le matériel, OS X est développé pour les Macs, avec un ensemble de configurations restreint et donc ne posant pas le problème de devoir supporter n’importe quelle config de PC possible, donc oui, l’OS est fait pour ces confs, et optimisé pour. Il n’y a qu’à voir les restrictions que tu as pour pouvoir faire un Hackintosh: tu ne peux pas mettre n’importe quel composant et supposer qu’OS-X fonctionnera avec, ça ne sera pas le cas. Maintenant, pour avoir vraiment des détails, à moins de connaître quelqu’un qui bosse chez Apple, ça risque d’être difficile… Dans le travail de tous les jours, ça ne se manifeste que par ses effets, c’est à dire un système plus stable et plus rapide quand ça marche, et des emmerdements à n’en plus finir quand ça ne marche pas, comme avec l’exemple que je donnais…
#57
Les macs utilisent un EFI et non un UEFI…
" />
Ce qui fout un poil la merde pour des distrib linux
Sinon le reste c’est du PC au niveau composant
il y a juste que les drivers sont made in Apple par rapport à microsoft qui laisse la gestion des drivers aux fabricants.
Donc moins de mauvaise surprise qu’avec certains fabricants indélicat… (non je n’ai pas une liste noire de noms
)
#58
Apple change de design une fois par an au grand maximum, chaque design c’est des millions de machines écoulées. Aucun fabricant de pc n’écoule un tel volume sur un design, ils vendent plus oui mais avec des dizaines de modèles différents.
#59
#60
T’as pas lu une ligne du lien, avoue
" />
#61
#62
De toute manière la réponse à ta question t’as été donnée un peu plus haut dans les commentaires ;)
#63
#64
#65
#66
c’est pareil aujourd’hui : si tu fais une liste de composants à la carte, le mac sera plus cher, mais en intégrant l’OS, les applis déjà fournies et l’écosystème, c’est moins évident. Mais ça reste difficile d’en débattre
" />
#67
#68
#69
@Philanthropos
Je ne vois pas trop la différence du coup avec d’autres constructeurs de PC… Ça n’est qu’une question de partenariat. Dell et HP font pareil.
Du reste, je ne suis pas sûr qu’un seul d’entre eux prennent les compo au pif comme tu dis :) Le prix est sûrement un critère puisqu’ils visent un marché plus vaste (du bas de gamme au top) alors qu’Apple lui ne vise que le haut du panier et ne s’embête pas trop la dessus.
Quand aux drivers, est-ce sûr que c’est mac qui les créé…? là aussi je doute.
#70
#71
#72
#73
#74
#75
#76
#77
#78
#79
#80
Pour le sudo sur Ubuntu (que j’ai aussi mis sur Debian) tu ajoutes dans ton sudoers :
timestamp_timeout=0
Et là tu es tranquille, pas possible de rentrer une ligne de commande sans donner ton mot de passe. Par ailleurs à titre perso je n’utilise mon compte avec les droits sudo que pour les tâches administratives, pour le reste je suis toujours sur mon compte sans droits sudo. Et par ssh j’ai désactivé la connexion à mon compte avec droits sudo. ;-)
#81
#82