Une faille de sécurité des plus grossière existe sur la dernière version, appelée « High Sierra », du système d’exploitation macOS d’Apple. Elle permet d’accéder aux droits d’administrateur sans aucun mot de passe.

C’est une faille de sécurité gênante pour la firme de Cupertino qui a été découverte dans la dernière version du système d’exploitation macOS, portant le nom de code « High Sierra » (version 10.13). En cause ? La possibilité de prendre le contrôle d’un ordinateur avec les droits d’administrateur… sans devoir connaître son mot de passe. Pour cela, il suffit de saisir simplement « root » pour login, et de laisser vide la zone dévolue au mot de passe. Dans les systèmes d’exploitation dérivés d’Unix ou de Linux (et macOS en est un, puisque son noyau est basé sur la distribution Unix BSD), le mot « root » décrit le super-utilisateur doté des pleins pouvoirs d’administrateur sur la machine. C’est dire si la faille est évidente : cela revient à installer une serrure… mais à ne pas en avoir besoin pour ouvrir une porte.

Comment savoir si vous êtes concerné ?

La vulnérabilité permet aussi d’obtenir un accès administrateur depuis un simple accès utilisateur. Mais elle ne requiert pas nécessairement un accès physique à l’ordinateur : pour peu que des services à distance (comme par exemple VNC Viewer) soient activés, un intrus connecté à votre réseau local peut tout à fait en prendre le contrôle. Il n’est toutefois pas possible de se logger par ce moyen sur une machine déjà allumée, dont l’écran est protégé par mot de passe. Apple a indiqué travailler sur un correctif définitif, et a en attendant rappelé la procédure permettant remédier temporairement au problème : il s’agit d’activer l’utilisateur « root » sur votre Mac et de définir un mot de passe.

VERSION. Ce problème ne concerne que la dernière version du système d’exploitation (High Sierra, version 10.13). Pour savoir quelle est la version du système de votre Mac, il vous suffit de suivre le mode d’emploi mis en ligne par Apple : dans le menu Pomme situé dans le coin de l’écran, sélectionnez « À propos de ce Mac ». La version du système d’exploitation s’affiche dans la boîte de dialogue.

La version 10.13 de macOS (« High Sierra ») est concernée

Une polémique née des réseaux sociaux

Pourtant découverte à la mi-novembre 2017 (voir cette discussion sur le forum des développeurs Apple), la connaissance de ce bug était au départ restée confidentielle. Jusqu’à ce qu’un développeur de Turquie, Lemi Orhan Ergin, ne la médiatise à large échelle grâce à un tweet relayé plus de 11.000 fois ! La question se pose désormais de savoir si la faille a pu être utilisée discrètement entre-temps à des fins malveillantes.

Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as « root » with empty password after clicking on login button several times. Are you aware of it @Apple?


ATTENTION: Votre discernement est requis par rapport à ces textes.
♥ ♥ ♥ ♥ ♥ ♥ ♥

- POSER UN GESTE D'AMOUR -
Une contribution volontaire
aide véritablement à maintenir ce site ouvert
et ainsi vous devenez un Gardien Passeurs en action.
CLIQUEZ ICI POUR CONTRIBUER
Merci

Texte partagé par les Chroniques d'Arcturius - Au service de la Nouvelle Terre