Une patate chaude : un chercheur en sécurité a découvert qu’Apple n’avait que partiellement corrigé une faille de sécurité affectant toutes les versions de macOS. La société a essayé de résoudre le problème en silence, mais n’y est pas parvenu, laissant des millions de Mac vulnérables à l’exécution de code à distance sans avertissement ni invite.
Apple a fait du bon travail en corrigeant diverses vulnérabilités de sécurité macOS ces derniers temps, mais il y en a au moins une qui s’avère plus difficile à corriger que le géant de Cupertino ne l’avait prévu.
Selon le chercheur indépendant Park Minchan, la faille zero-day est présente dans toutes les versions de macOS – y compris macOS Big Sur – et permet à un acteur malveillant d’exécuter du code arbitraire à distance à l’aide de quelques fichiers simples intégrés dans des e-mails reçus via Apple. Mail ou toute autre application de messagerie.
Minchan dit que cela est possible en raison d’un bug dans la façon dont macOS gère les fichiers d’emplacement Internet (inetloc), ce qui l’oblige à exécuter toutes les commandes intégrées à l’intérieur. Normalement, il s’agit de signets à l’échelle du système utilisés pour ouvrir des ressources en ligne ou des fichiers locaux, mais dans ce cas, ils peuvent être exploités par un attaquant pour exécuter du code malveillant sans qu’aucun avertissement ou invite ne soit affiché à l’utilisateur sur le Mac cible.
Cela peut être fait en changeant le lien de préface dans un fichier inetloc avec « file:// », et tout ce qu’il faut pour effectuer l’exploit est un clic de l’utilisateur. Apple a essayé de corriger la faille sur macOS Big Sur, mais il l’a fait silencieusement sans lui attribuer de CVE et a ignoré le fait que l’utilisation de « File:// » ou « fIle:// » (simplement modifier la valeur) peut fonctionner simplement ainsi que « fichier://. »
Minchan a informé l’entreprise du problème mais n’a pas encore eu de réponse. En attendant, la seule chose que vous pouvez faire est de vous abstenir d’ouvrir les pièces jointes des e-mails portant l’extension « inetloc ».