MacOS X : faille critique dans les archives Zip

Une faille jugée critique a été découverte au sein de MacOS X. Elle se situe dans la gestion des fichiers téléchargés par Safari et dans leur ouverture automatique si le fichier est jugé fiable. Parmi les extensions possibles, les archives au format Zip sont considérées comme fiables sous certaines conditions. Ces dernières peuvent cependant être modifiées pour permettre une exécution de code arbitraire.

Apple a reconnu la faille et travaille sur un correctif. La faille est jugée suffisamment importante pour osciller entre les niveaux critique chez la société FrSIRT et hautement critique chez Secunia (respectivement les niveaux maximum de chacun). Le fonctionnement normal de MacOS X devrait empêcher toute exécution de code arbitraire en temps normal, mais la faille se joue sur la présence d’une certaine ligne (shebang) dans le code de l’archive Zip. Si cette ligne est retirée, le système considère l’archive comme sûre.

Problème : il est possible de glisser un script dans l’archive pour qu’il s’exécute automatiquement. Un utilisateur de MacOS X est considéré en général comme un administrateur mais les actions potentiellement dangereuses demandent une confirmation par mot de passe, comme dans le cas du fameux « virus ». Avec la faille exposée ici, le mot de passe n’est pas demandé, ce qui ouvre la voie à une multitude d’effets négatifs.

Apple recommande de ne télécharger des fichiers que depuis des sites de confiance. Il est recommandé aux utilisateurs de Safari de désactiver l’exécution automatique des fichiers téléchargés dans les options. Les autres navigateurs tels que Firefox, Camino ou Opera ne sont pas concernés par ce souci.

Le correctif est cependant attendu rapidement, car selon le SANS Institute's Internet Storm Center, la faille ne se limite pas à Safari. MacOS X lui-même est le principal vecteur, et rien n’empêche des personnes malintentionnées de déguiser des archives Zip en images au format JPEG.

On pourra lire également sur le site Secuser : "Une vulnérabilité critique a été découverte dans le système d'exploitation Mac OS X. Un défaut de sécurité dans la gestion des scripts de commande permet à un individu malveillant ou à un virus d'exécuter du code malicieux sur l'ordinateur de sa victime via un fichier piégé. Cette faille peut notamment être exploitée de façon automatique via le navigateur Safari au moyen d'une page web provoquant l'ouverture d'un fichier .ZIP piégé ou via l'application de messagerie Apple Mail au moyen d'un fichier joint piégé comportant n'importe quelle extension"

Source : Information Week

Vincent Hermann le 22 février 2006 à 09:32 (24 184 lectures)

Tweeter

• 17 / 02 / 2006 : Sophos confirme le virus sous Mac OS, menace faible
• 17 / 02 / 2006 : MacOS X sur les PC : Apple pas vraiment content
• 16 / 02 / 2006 : Nouvelle version 10.4.5 pour MacOS X
• 15 / 02 / 2006 : Apple verse dans la poésie anti-piratage
• 14 / 02 / 2006 : MacBook Pro : des processeurs surprises ?
• 14 / 02 / 2006 : Billou en dit plus sur ses projets pour contrer l'iPod
• 13 / 02 / 2006 : Bientôt un milliard de téléchargements pour iTunes
• 10 / 02 / 2006 : Les iBook Intel pourraient apparaître dès le mois prochain

Actu Précédente Actu Suivante