Ouvrir le menu principal

MacGeneration

Recherche

Faille dyld : pas besoin de mot de passe pour installer des malwares

Mickaël Bazoge

mardi 04 août 2015 à 09:40 • 30

macOS

Il n’aura pas fallu attendre longtemps pour qu’une attaque exploite la vulnérabilité dyld repérée la semaine dernière par le chercheur en sécurité Stefan Esser (lire : Une faille de sécurité dans Yosemite donne accès au Mac). La société Malwarebytes, qui édite des anti-malwares, a repéré un installateur malin qui s’infiltre sur le Mac en y laissant des adwares comme VSearch, une variante de l’indésirable Genieo, ou encore le pourriciel MacKeeper.

Le script qui exploite la faille dyld modifie le fichier de configuration sudoers, un fichier Unix caché qui détermine les autorisations root dans un shell Unix. La modification appliquée par le script sur ce fichier sudoers permet à l’application d’obtenir les permissions root sans qu’elle ait besoin d’un mot de passe, explique les chercheurs de Malwarebytes. C’est évidemment dans le contournement du mot de passe, rendu possible par la faille dyld, que réside le nœud du problème.

Tout cela est « évidemment de très mauvaises nouvelles », déplore la société. Apple est au courant de la situation : la faille n’existe pas dans les préversions d’OS X El Capitan, mais elle est toujours présente sous OS X 10.10.4 et les betas d’OS X 10.10.5. Mais l’urgence qui pointe va peut-être pousser les ingénieurs de Cupertino à livrer un correctif dès la version finale d’OS X 10.10.5. En attendant, Stefan Esser a développé un patch, mais on préfèrera installer le correctif officiel… en espérant qu’il arrive rapidement.

Source :

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Concours : un NAS Qnap TS-233 équipé de 2 disques WD Red 6 To à gagner !

13:00

• 257


Nintendo retarde les précommandes de la Switch 2 aux États-Unis, à cause de Donald Trump

10:51

• 49


Silence : une application pour bloquer les appels indésirables sans abonnement

10:47

• 94


Sortie de veille : Apple Intelligence finalement dispo, l’attente récompensée ?

08:00

• 7


L’administration Trump aurait-elle utilisé l’IA pour créer la formule des nouvelles taxes ?

04/04/2025 à 22:30

• 43


Promo : l'écran 4K LG UltraFine 32 avec une colonne ERGO est à 423 € (-250 €)

04/04/2025 à 22:30

• 29


Donald Trump accorde un délai supplémentaire de 75 jours à TikTok

04/04/2025 à 21:45

• 13


N'attendez pas Linux sur les M4 de sitôt : c'est visiblement douloureusement compliqué

04/04/2025 à 18:30

• 29


Microsoft a 50 ans

04/04/2025 à 17:39

• 42


Apple déploie l'audio spatial en Dolby Atmos sous Windows (mais il faut payer)

04/04/2025 à 17:00

• 11


MacBook Air : nouvelle promo sur le M4, le M2 encore au tarif canon de 899 €

04/04/2025 à 15:48

• 7


Pages ne sait plus publier un livre directement sur Apple Books

04/04/2025 à 14:45

• 8


Microsoft vend son mini PC dans le cloud, pour Windows 365

04/04/2025 à 13:15

• 21


Le SSD USB4 Corsair EX400U, parfait pour les Mac et les iPhone, en promotion

04/04/2025 à 11:45

• 11


Starlink passe à 29 €/mois avec une connexion moins prioritaire

04/04/2025 à 10:30

• 107


Ubiquiti commercialise son propre adaptateur USB4 vers Ethernet 10G

04/04/2025 à 09:51

• 3