Les failles de sécurité dans l'environnement Mac sont de moins en moins rares. Coup sur coup, deux vulnérabilités touchant les dernières versions de Mac OS X ont été découvertes.
Les failles de sécurité dans l'environnement Mac sont de moins en moins rares. Coup sur coup, deux vulnérabilités touchant les dernières versions de Mac OS X ont été découvertes.
La première, qualifié de «modérément critique» par Secunia touche les versions 10.5.1 et 10.5.2 du système d'exploitation, soit les dernières moutures de Leopard. Le chercheur Neil Kettle a ainsi publié une preuve de concept exploitant une faille dans le protocole IPv6 qui doit permettre d'éviter la pénurie des adresses IP de l'IPv4. Selon nos confrères de Vulnérabilité.com, c'est l'implémentation de ce protocole dans le système d'exploitation qui pose problème.
«Dans un réseau local ou distant, le risque généré par cette vulnérabilité est un déni de service. Plus précisément, la vulnérabilité résulte d'une erreur présente au niveau de la fonction " ipcomp6_input() dans bsd/netinet6/ipcomp_input.c " qui ne gère pas correctement certains paquets IPv6 avec l'entête IPComp (IP Payload COMpression Protocol)», explique le webzine spécialisé dans la sécurité.
Le risque de cette vulnérabilité est limité puisque les utilisateurs sont encore peu nombreux à exploiter IPv6, mais ce protocole devrait à terme s'imposer. Gageons que Apple publiera un correctif rapidement.
La deuxième vulnérabilité semble bien plus critique. Confirmée par Apple, elle exploite un problème dans la façon dont Mac OS X gère les mots de passe pour ouvrir une session.
Concrètement, une fois le mot de passe entré pour déverrouiller le système, il est stocké dans la mémoire de la machine jusqu'à que l'utilisateur achève sa session. Si un attaquant distant a un accès à la machine (via un logiciel malveillant installé), il pourra récupérer les données stockées et donc le mot de passe.
Un correctif est en préparation du côté de Cupertino.