Apple corrige en urgence la faille permettant de se connecter en tant que root sans fournir de mot de passe
Une faille de sécurité de macOS High Sierra permet de se connecter en tant que root sans mot de passe,
mais il existe un moyen de l’atténuer
Une faille de sécurité de macOS High Sierra permet de se connecter en tant que root sur un Mac sans mot de passe et sans aucune vérification de sécurité. La faille de sécurité, découverte par le développeur turc Lemi Ergin, permet à tout utilisateur de se connecter à un compte d’administrateur en utilisant le nom d'utilisateur « root » sans renseigner de mot de passe. Cela fonctionne lorsque vous tentez d'accéder au compte d'un administrateur sur un Mac déverrouillé, et il fournit également un accès à l'écran de connexion d'un Mac verrouillé.
Pour reproduire la faille de sécurité, il suffit de procéder comme suit à partir de n'importe quel compte Mac, que ce soit un compte administrateur ou un compte invité :
1. Ouvrir les Préférences Système ;
2. Choisir sur « Utilisateurs et groupes » ;
3. Cliquer sur le verrou pour apporter des modifications ;
4. Taper « root » dans le champ du nom d'utilisateur ;
5. Déplacer la souris sur le champ Mot de passe et cliquer dessus, mais le laisser vide ;
6. Cliquer sur « Déverrouiller », et il devrait permettre un accès complet pour ajouter un nouveau compte administrateur.
Sur l'écran de connexion, il est également possible d’exploiter cette faille de sécurité pour accéder à un Mac après que la fonction de connexion à distance ait été activée dans les Préférences Système de ce dernier. Pour ce faire, à l'écran de connexion, il suffit de cliquer sur « Autre », puis de taper « root » comme nom d’utilisateur dans le champ prévu à cet effet et laisser le champ prévu pour le mot de passe vide. Cela permet un accès de niveau administrateur directement à partir de l'écran de connexion verrouillé d’un Mac, avec tous les privilèges qui sont accordés au super utilisateur.
Il semble que la faille de sécurité affecte aussi bien la version actuelle de macOS High Sierra, la 10.13.1, que la version bêta de macOS, la 10.13.2 en cours de test. Celui qui a découvert la faille ne précise pas comment un tel bogue a pu tromper la vigilance des ingénieurs d’Apple, mais il est probable que la société à la pomme la corrige très rapidement dans les jours à venir avec une nouvelle mise à jour. En attendant cela, il est cependant possible de contourner le problème en activant un compte d’utilisateur root et en lui attribuant un mot de passe pour empêcher que l’on puisse s’y connecter sans mot de passe.
Un porte-parole de la société déclare qu’ils sont en train de travailler sur une mise à jour pour résoudre ce problème, une mise à jour qui sera diffusée le plus tôt possible. Il ajoute qu’ « en attendant, la définition d'un mot de passe root empêche tout accès non autorisé à votre Mac ». Le porte-parole d’Apple poursuit en disant que « pour activer l'utilisateur root et définir un mot de passe », vous pouvez suivre les instructions sur le site du support utilisateur de la société à l’adresse suivante : https://support.apple.com/fr-fr/HT204012. Il ajoute également que « si un utilisateur root est déjà activé, pour vous assurer qu'un mot de passe vide n'est pas défini, veuillez suivre les instructions de la section 'Changer le mot de passe root' ».
D’une façon détaillée, le site pour le support utilisateur d’Apple préconise de suivre les instructions suivantes pour éviter que cette faille de sécurité ne soit exploitable sur votre Mac :
1. Dans le Finder, cliquer sur le menu « Aller à » et sélectionnez « Aller au dossier » ;
2. Dans le champ de texte qui s’affiche, taper le chemin vers le dossier Applications (/System/Library/CoreServices/Applications/), puis cliquer sur OK ;
3. Rechercher l'application « Utilitaire de répertoire » et la lancer ;
4. Cliquez sur le verrou en bas à gauche pour apporter des modifications. Dans la fenêtre contextuelle, entrer son nom d'utilisateur et son mot de passe, puis cliquer sur « Modifier la configuration » ;
5. Cliquez sur « Modifier » dans la barre de menu et sélectionnez « Modifier le mot de passe administrateur » ;
6. Dans la fenêtre contextuelle, entrer un mot de passe et le vérifier puis cliquer sur OK ;
7. Dans la fenêtre principale de l’Utilitaire de répertoire, cliquer sur le verrou pour le verrouiller et empêcher d'autres modifications ;
8. Et enfin, quitter l'Utilitaire de répertoire.
D’après le porte-parole d’Apple qui s’est exprimé sur ce sujet, en suivant correctement ces différentes instructions tout utilisateur de macOS High Sierra devrait être à l’abri de toute connexion non autorisée en utilisant l’utilisateur root sans mot de passe. Toute tentative de connexion sans mot de passe devrait être rejetée et le système devrait demander à l’utilisateur de renseigner le mot de passe nouvellement créé pour l’utilisateur root afin de pouvoir s’authentifier.
Sources : Twitter, Blog MacRumors
Et vous ?
:fleche: Que pensez-vous de cette faille de sécurité découverte sur macOS High Sierra ?
Voir aussi
:fleche: Apple : la sortie officielle de macOS High Sierra est prévue pour le 25 septembre après le lancement des nouveaux iPhone de la marque
:fleche: Un exploit zero-day dans la dernière version de macOS permet à un attaquant de subtiliser les mots de passe sauvegardés sur Keychain
Apple corrige en urgence la faille permettant de se connecter en tant que root sans fournir de mot de passe
Apple corrige en urgence la faille permettant de se connecter en tant que root sans fournir de mot de passe
sur le système d’exploitation macOS High Sierra
C’est au cours de la journée d’hier que le développeur turc Lemi Ergin a informé le public de la découverte d’une faille sur le système d’exploitation macOS High Sierra version 10.13.1 qui propulse les ordinateurs portables et de bureau d’Apple. Tous les utilisateurs, aussi bien ceux qui possèdent des ordinateurs Mac que ceux qui n’en possèdent pas, ont été choqués après avoir pris connaissance du contenu de la découverte.
La faille de sécurité découverte permet à un utilisateur de se connecter au compte administrateur « root » sans renseigner de mot de passe. Aussi, que l’ordinateur soit déverrouillé ou pas, il suffit d’entrer cet identifiant sans mot de passe pour accéder au système ou à ses préférences. En principe, ce compte dispose de droits de lecture et d’écriture sur davantage de zones du système, y compris sur des fichiers stockés dans d’autres comptes utilisateur macOS. En raison des privilèges accordés à ce compte, il est en principe désactivé par défaut sur les systèmes d’exploitation macOS.
Mais pour cette dernière version macOS High Sierra 10.13.1, non seulement il semble ne pas être désactivé, mais il ne requiert pas de mot de passe pour accéder au système ou aux paramètres de l’ordinateur. Bien évidemment, les réactions après la découverte de cette vulnérabilité furent très amères vis-à-vis de la firme à la pomme, tant l’entreprise a toujours fait de la sécurité son étendard.
Dès les premières heures de la divulgation de cette faille, un porte-parole de l’entreprise s’est exprimé afin d’offrir une mesure d’atténuation en vue de prévenir l’exploitation de cette faille. Comme recommandation, Apple a demandé aux utilisateurs possédant des ordinateurs avec macOS High Sierra 10.13.1 installé par-dessus d’ajouter un mot de passe au superutilisateur root, ce qui aurait pour conséquence d’empêcher l’accès à l’ordinateur en utilisant ce compte administrateur sans fournir de mot de passe.
Par ailleurs, vu la brèche béante laissée par cette faille, Apple se devait de réagir au plus tôt. L’entreprise vient de publier un patch pour corriger cette faille considérée par certaines personnes comme de l’amateurisme. Sur la page de sécurité, Apple indique que la mise à jour de sécurité 2017-01 sortie le 29 novembre corrige en effet la vulnérabilité permettant de contourner l’authentification de l’administrateur sans fournir de mot de passe. Dans la description du bogue, Apple explique qu’une « erreur de logique existait dans la validation des informations d’identification ». Mais, « cela a été résolu avec une validation améliorée des informations d’identification ». Les utilisateurs sont donc invités à procéder à la mise à jour de leur système High Sierra afin d’éliminer ces possibilités d’accès non autorisées. Les versions macOS Sierra 10.12.6 et antérieures ne sont pas concernées par cette faille. Les utilisateurs de ces systèmes peuvent donc s’en passer.
Après avoir installé la mise à jour de sécurité, le superutilisateur root devrait être désactivé. Aussi, si vous souhaitez l’utiliser, vous aurez besoin de le réactiver et changer le mot de passe utilisateur après cette mise à jour, souligne Apple. L’entreprise précise toutefois qu’après avoir installé cette mise à jour de sécurité, il est possible que vous rencontriez « des problèmes avec l’authentification ou la connexion aux partages de fichiers sur votre Mac ». Si c’est le cas, vous devrez alors suivre la procédure de réparation pour régler le problème.
Au-delà de cette mise à jour qui vient de sortir, Apple aurait déclaré qu’elle passerait en revue son processus de développement de ses logiciels afin d’éviter que d’éventuelles erreurs ne surviennent à nouveau.
Source : Apple
Et vous ?
:fleche: Pensez-vous que ce genre de failles pourrait être rencontré sur des systèmes comme Windows ou Linux ?
:fleche: Cette faille pourrait-elle vous faire remettre en cause la sécurité des systèmes d’exploitation macOS ?
Voir aussi
:fleche: Apple publie une mise à jour pour corriger une faille sur macOS High Sierra qui permet à un attaquant de voler des mots de passe sur Keychain
:fleche: Mac OS X Lion : faille de sécurité dans FireWire pouvant être exploitée pour récupérer les mots de passe utilisateurs
:fleche: De nombreux ordinateurs Mac sont toujours vulnérables à des attaques exploitant des failles sur l’EFI, malgré les sorties de mises à jour
