D’importantes failles de sécurité ont été découvertes dans un protocole issu du monde libre. Leur inclusion dans OS X notamment rend les versions actuellement supportées vulnérables, nécessitant pour Apple le déploiement d’une mise à jour dans la foulée. Il s’agit d’ailleurs, pour la première fois, d’un correctif à installation automatique.
Les détails des failles ont été rendus publics vendredi dernier. Elles ont été découvertes par deux chercheurs en sécurité de chez Google, Neel Mehta et Stephen Roettger, au sein du Network Time Protocol (NTP). Exploitées, elles pourraient permettre l’exécution d’un code arbitraire à distance. Le CERT (Cyber Emergency Response Team), et plus particulièrement sa branche ICS (Industrial Control Systems) a émis un bulletin d’alerte, car on retrouve le fameux protocole dans un grand nombre de systèmes industriels automatisés.
Mais il est également présent dans tous les OS X, et la dangerosité des vulnérabilités a provoqué une réponse rapide d’Apple. Une importante mise à jour de sécurité est donc disponible dans le Mac App Store pour les trois systèmes actuellement supportés par la firme, à savoir Yosemite, Mavericks et Mountain Lion. Le correctif ne pèse qu’environ 2 Mo et ne demandera pas de redémarrage sur les systèmes récents.
Sachez cependant que cette mise à jour est la première configurée par Apple pour s’installer automatiquement à partir d’un certain temps. Elle reste stockée dans l’App Store pendant une période (non déterminée) puis est installée si l’utilisateur tarde trop ou ne la voit tout simplement pas. Il suffit que l’icône de l’App Store ne soit pas dans le Dock pour rater une mise à jour, et Apple estime que le danger est suffisamment important pour forcer un peu la main.
Le correctif est disponible dans l’App Store, mais ceux qui le souhaitent pourront récupérer les fichiers d’installation depuis les liens ci-dessous :
Commentaires (17)
#1
J’étais justement entrain de me dire “C’est la première fois que je vois mon mac faire une mise à jour automatique” merci d’avoir éclairci ce mystère de ma matinée du coup NextInpact ;).
#2
C’est certain qu’on va voir ce genre de news défiler pendant encore quelques années.
Certains protocoles/implémentations sont tellement anciennes, qu’à l’époque, les dev n’envisageaient meme pas que leur soft soit utilisé sur un réseau mondial avec de potentiels clients malicieux.
#3
Et sinon, une maj 10.10.2 serait cool. J’en ai marre que ma session se ferme toute seule … :(
#4
Qu’en est-il pour les autres OS? =/
#5
On peut aussi ajouter ceci dans /private/etc/ntp-restrict.conf :
interface ignore wildcard
interface listen 127.0.0.1
Ca évite d’avoir ntpd en écoute sur autre chose que lo.
#6
Ca se passe comment le patch ? On patche les specs du protocole (histoire d’être plus rigoureux) et/ou on patche l’implémentation du protocole (lib standard ou maison) ?
#7
Avec tous les milliards de $$$ engrangés, ils n’ont toujours pas été capables de monter une équipe qui passerait en revue de sécurité l’ensemble du code de leur système (ça profiterait au libre, en plus), ce sont des personnes de Google qui s’en chargent.
Le goto fail avait déjà montré qu’ils n’avaient pas de stratégie de test digne de ce nom…
#8
C’est parce qu’ils sont beaucoup trop occupés à pondre une version tous les ans que de corriger les bugs/failles qui s’accumulent au fil des release :-)
#9
#10
#11
#12
#13
Et pour les réticents aux nouveautés inutiles comme moi qui sont toujours en 10.6 ?
#14
#15
#16
Déjà je ne pense pas qu’il vont aller le crier sur tout les toits, tu peux attendre encore longtemps. Google ne cherche pas des failles dans macs uniquement par charité chrétienne.
#17