OS X et iOS : faille critique dans le kernel, déjà corrigée dans les dernières versions

Une faille critique avait été découverte en décembre dernier dans OS X et iOS. Elle est corrigée dans les dernières révisions des deux systèmes, mais sa révélation accentue désormais la pression sur l’application des mises à jour.

La faille a été révélée hier par le chercheur Pedro Vilaça, travaillant pour SentinelOne. Les détails ont été présentés dans le cadre de la conférence SysCan360 2016 qui se tient actuellement à Singapour. Exploitée, elle permettrait une escalade locale des privilèges, le tout avec une caractéristique singulière : celle de contourner la System Integrity Protection intégrée par Apple dans OS X.

Cette fonctionnalité apparue avec El Capitan a pour mission de protéger certaines parties cruciales du système, notamment des processus, fichiers et dossiers jugés comme primordiaux. Elle interdit normalement toute modification de ces données, y compris par des applications qui disposeraient des droits « root », les plus élevés disponibles sur un compte.

Pour clore une chaine de bugs

D’après le chercheur, l’exploitation de la faille – de type corruption de données – permet de contourner la SIP et de permettre l’exécution d’un code arbitraire sur la base de n’importe quel binaire. La brèche est possible car certains binaires protégés doivent pouvoir être modifiés quand même, par exemple durant la mise à jour du système. C’est ce mécanisme que le pirate peut exploiter pour parvenir à ses fins.

Malgré une exploitation garantie à 100 % par le chercheur, la faille (CVE-2016-1757) en elle-même a besoin d’une autre pour fonctionner. Pedro Vilaça a ainsi expliqué que le pirate devait d’abord compromettre le système, par exemple en exploitant une brèche dans un navigateur. On ne peut donc la considérer comme utile que dans le cadre d’une chaine de bugs dont l’utilisation successive mènerait à la prise de contrôle totale de la machine. En effet, la capacité d’exploiter n’importe quel code permet entre autres le lancement d’un malware.

La faille n'est corrigée que dans les dernières versions d'OS X et iOS

La plupart des informations techniques sur la faille ont également été publiées dans le cadre du Project Zero de Google, par Ian Beer. Si ces détails sont maintenant disponibles, c’est que la faille en question, qui fonctionne d’ailleurs aussi bien dans OS X que dans IOS, est maintenant corrigée. Les versions 9.3 d’iOS et 10.11.4 d’OS X (El Capitan) colmatent la brèche. Ceux qui sont encore sous d’anciennes moutures devraient donc migrer le plus rapidement possible pour s’assurer d’être protégés.

Comme nous l’indiquions d’ailleurs dans une précédente actualité, il n’est pas impossible que cette faille en particulier puisse être utilisée par le FBI dans le cadre de l’enquête impliquant un iPhone 5c verrouillé. L’une des pistes potentielles pour l’agence fédérale est en effet d’exploiter une brèche qui n’aurait pas été corrigée. Or, seule la version 9.3 du système règle le problème. L’iPhone en question se trouvant encore sous iOS 8, la piste est crédible.

Parmi les problèmes de sécurité réglés par iOS 9.3, on peut voir dans la liste que la faille CVE-2016-1757 est clairement mentionnée. Ian Beer et Pedro Vilaça en reçoivent tous deux le crédit de la découverte. Tous deux ont indiqué ne pas être au courant d'une exploitation active pour l'instant.