La société Core Security annonce avoir découvert trois failles de sécurité au sein du logiciel iCal présent dans Mac OS X. Plus spécifiquement, c’est la version 3.01 de l’agenda qui est concernée, présente dans la version 10.5.1 du système, donc Leopard.

Un utilisateur malintentionné pourrait créer un fichier ICS conçu de manière à provoquer une corruption des données en mémoire depuis iCal. Il existe en effet un bug de libération des ressources qui peut autoriser dès lors une exécution de code arbitraire. Core Security ajoute que le bug peut être exploité avec ou sans intervention de l’utilisateur final.


Les deux autres problèmes peuvent mener à des attaques par déni de service. Si le pirate peut accéder aux fichiers de l’agenda sur un serveur CalDAV, toutes ces attaques peuvent être perpétrées sans que l’utilisateur final ait besoin d’agir.

Bien que potentiellement dangereuses, ces failles ne devraient pas causer beaucoup de problèmes. Elles sont en effet spécifiques à la version 3.01 d’iCal livrée avec la mise à jour 10.5.1 de Leopard, alors que la mise à jour 10.5.2 est disponible déjà depuis plusieurs semaines. Ceux qui n’ont pas encore mis à jour leur système sont invités à le faire dès à présent.