Une faille critique et non patchée pour Mac OS X et Safari

La première vulnérabilité critique découverte sous MacOS X n'a rien à envier à Windows : elle permet à un site web malicieux d'exécuter très simplement n'importe quelle commande Unix ou n'importe quel script sur l'ordinateur de l'internaute. Annoncée il y a quelques jours à peine, de très nombreux exploits circulent déjà sur Internet.

C'est un scénario que les habitués de nos colonnes connaissent bien : plutôt que de se contenter d'afficher des pages web, le navigateur essaie d'en faire trop et finit par compromettre la sécurité du système tout entier.

Sauf qu'ici, au lieu de l'habituel couple de mécréants Internet Explorer et Windows, le casting nous offre un duo original puisqu'il s'agit de MacOS X et son navigateur Safari (la faille est cependant partiellement exploitable avec d'autres navigateurs).

Pour être honnête cependant, cette vulnérabilité ne touche pas tant le navigateur que la manière dont le protocole d'aide est géré par le système lorsqu'on lui soumet une URI spéciale. Pour mémoire Windows XP a lui aussi été victime d'une telle faille, mais elle ne permettait alors "que" d'effacer n'importe quel répertoire sur le disque dur.
Dans sa version MacOS X, la vulnérabilité permet cette fois de forcer le Mac a exécuter n'importe quelle commande Unix (car le système est bâti sur FreeBSD, un Unix historique) ou n'importe quel script. Il suffit pour cela de cliquer sur un lien commençant par help:runscript.

Certes, le script invoqué doit être présent sur le système. Mais il est possible d'exploiter une seconde faille du navigateur Safari afin de contourner cette limitation en le téléchargeant au préalable (ce que fait cette démonstration). L'attaque est rendue possible car Safari télécharge les images disques toujours au même endroit et les décompresse immédiatement. Il n'y a pas mieux pour déposer un code malicieux avant de le faire exécuter par la vulnérabilité du système d'aide.
Mais attention : même sans cela (si l'utilisateur a choisi un autre navigateur par exemple), il demeure toujours possible d'exécuter à distance n'importe quelle commande Unix sur le système, une aubaine pour les pirates un peu créatifs.

Il n'y aucun correctif disponible pour l'heure. Apple se contente d'être "entrain d'étudier le problème". En attendant le correctif, quelques mesures peuvent cependant minimiser le risque. La plus souvent conseillée propose de changer l'application associée au protocole Help afin qu'au lieu du moteur de script ce soit, par exemple, un simple jeu qui soit appelé. Enfin, il est aussi possible de retirer la permission d'exécution à l'application du Helper (Help Viewer.app)

» Bulletin K-OTik.COM : Mac OS X URI Handler Arbitrary Code Execution Vulnerability

Par Jerome Saiz (LesNouvelles)