Apple a introduit System Integrity Protection (SIP) avec OS X El Capitan en 2015, et il ajoute essentiellement plusieurs couches de sécurité qui empêchent les applications d’accéder et de modifier les fichiers système au niveau racine. Bien que les utilisateurs puissent désactiver manuellement cette fonctionnalité, ce n’est pas vraiment facile à faire. Mais Microsoft a trouvé un exploit qui pourrait permettre aux attaquants de contourner SIP.
Microsoft détaille comment il a trouvé l’exploit « Migraine » dans macOS
Comme l’entreprise l’a partagé sur son blog de sécurité, une vulnérabilité nommée « Migraine » pourrait contourner la protection de l’intégrité du système de macOS et conduire à l’exécution de code arbitraire sur un appareil. L’exploit est ainsi nommé car il est lié à l’assistant de migration macOS, un outil natif qui aide les utilisateurs à déplacer des données d’un Mac ou d’un PC Windows vers un autre Mac.
Comme l’a expliqué Microsoft, le contournement de SIP peut entraîner de « graves conséquences », car cela donne aux attaquants un accès à tous les fichiers système, ce qui facilite l’installation de logiciels malveillants et de rootkits. L’exploit a pu le faire en utilisant un droit spécial conçu pour donner un accès root illimité à l’application Migration Assistant.
Dans une situation normale, l’outil Assistant de migration n’est accessible que pendant le processus de configuration d’un nouveau compte d’utilisateur, ce qui indique que les pirates doivent non seulement forcer une déconnexion complète du système, mais doivent également avoir un accès physique à l’ordinateur. Mais pour démontrer le risque potentiel de cet exploit, Microsoft a montré qu’il existait un moyen d’en tirer parti sans se soucier des limitations énumérées précédemment.
Voici comment cela fonctionne
Microsoft a modifié l’utilitaire Migration Assistant pour qu’il s’exécute sans déconnecter l’utilisateur. Mais la modification de l’application l’a fait planter en raison d’un échec de codesign. Ce que les chercheurs en sécurité ont ensuite fait, c’est d’exécuter l’assistant de configuration (l’application qui guide l’utilisateur lors de la première configuration d’un Mac) en mode débogage, afin qu’il ignore le fait que l’assistant de migration a été modifié et n’a pas de signature valide.
Étant donné que l’assistant de configuration fonctionnait en mode débogage, les chercheurs pouvaient facilement ignorer les étapes du processus de configuration et passer directement à l’assistant de migration. Mais même en cours d’exécution dans l’environnement macOS, cela nécessiterait toujours d’avoir un disque à restaurer et une interaction avec l’interface.
Pour pousser l’exploit encore plus loin, Microsoft a créé une petite sauvegarde Time Machine de 1 Go qui pourrait contenir des logiciels malveillants. Les chercheurs ont donc créé un AppleScript qui montait automatiquement cette sauvegarde et interagissait avec l’interface de l’assistant de migration sans même que l’utilisateur s’en aperçoive. En conséquence, le Mac importerait les données de cette sauvegarde malveillante.
Faut-il s’inquiéter ?
Heureusement, vous n’avez pas à vous inquiéter si votre Mac exécute la dernière version de macOS Ventura. C’est parce que Microsoft a informé Apple de l’exploit, qui a été corrigé avec la mise à jour macOS 13.4 – publiée le 18 mai au public. Apple a remercié les chercheurs de Microsoft sur sa page Web de sécurité.
Si vous n’avez pas encore mis à jour votre Mac, assurez-vous d’installer la dernière version de macOS dès que possible en accédant à Paramètres système > Général > Mise à jour logicielle.
Détente, découvrez l’évolution du nombre de smartphones vendus par marque au fil du temps dans la vidéo ci-dessous :
