Rootpipe, la faille qui contourne la sécurité de sudo dans les derniers OS X
Pas de correctif avant janvier prochain
Le 04 novembre 2014 à 16h09
4 min
Logiciel
Logiciel
Yosemite, ainsi que plusieurs versions précédentes du système d’exploitation d’Apple, est affecté par une faille permettant une élévation des privilèges par escalade. Le découvreur de la brèche a fait part de sa trouvaille il y a plusieurs semaines, mais il faudra attendre janvier prochain pour un correctif.
La faille touche au minimum Yosemite, Mavericks et Mountain Lion
Emil Kvarnhammar, chercheur en sécurité chez Truesec, a indiqué il y a un peu plus de deux semaines avoir découvert une importante faille de sécurité au sein de Yosemite. Exploitée, elle permettrait à un pirate d’obtenir les droits « root » sur la machine via une escalade des privilèges. Le Suédois a d’ailleurs publié une vidéo pour montrer que l’exploitation était tout à fait possible, et pas seulement dans Yosemite.
Le dernier OS X est en effet concerné, mais il est possible, comme il l’a indiqué, que la faille soit en fait beaucoup plus ancienne. Elle est présente sur les deux versions précédentes du système, Mountain Lion et Mavericks, mais le chercheur ajoute qu’elle existait encore sûrement avant, probablement même sur Snow Leopard qui reste un système encore utilisé (parce que certains Mac ne peuvent en fait pas aller plus loin).
Kvarnhammar explique qu’Apple a été immédiatement informé de l’existence de la faille, nommée « rootpipe » et que si elle n’a d’abord par répondu, elle a ensuite réclamé de plus amples détails. La firme a demandé au chercheur de garder les détails pour lui jusqu’en janvier 2015, période supposée où un patch correcteur devrait donc être disponible. Ce genre de pratique est courant et assure que la faille n’est pas largement exploitée avant que la solution ne soit prête. Par exemple, dans ses bulletins mensuels de sécurité, Microsoft précise si chaque mise à jour colmate une brèche dont les détails ont été tenus secrets ou non.
Utiliser un compte standard et chiffrer son disque dur
Le chercheur garde donc les détails pour lui, et on ne sait même pas pour l’instant si la faille peut être exploitée ou non à distance et si elle est critique. Il a cependant indiqué à MacWorld qu’il existe deux moyens d’atténuer le risque de subir une attaque. Premièrement, activer FileVault, la solution de chiffrement intégral des données fournies par Apple avec OS X. L’assistant de paramétrage de Yosemite enjoint d’ailleurs l’utilisateur à le faire (pour la première fois dans l’histoire du système).
Details on the #rootpipe exploit will be presented, but not now. Let's just give Apple some time to roll out a patch to affected users.
— Emil Kvarnhammar (@emilkvarnhammar) 16 Octobre 2014
Deuxièmement, se servir d’un compte standard pour son activité quotidienne et pas d’un compte administrateur. En effet, la seule information à peu près technique sur la faille est qu’elle permet de contourner une protection réclamant le mot de passe système lorsque la commande « sudo » est invoquée. Cette commande est héritée pour rappel du monde Unix et est intégrée dans de nombreuses distributions Linux, notamment Ubuntu, pour accorder temporairement des droits supérieurs à un utilisateur.
Les détails complets de la faille root pipe ne seront donc publiés qu’au mois de janvier prochain, quand le correctif d’Apple sera prêt. D’ici là, il faut simplement espérer qu’elle ne sera pas exploitée, en particulier dans le cas où l’action peut se faire à distance.
Rootpipe, la faille qui contourne la sécurité de sudo dans les derniers OS X
-
La faille touche au minimum Yosemite, Mavericks et Mountain Lion
-
Utiliser un compte standard et chiffrer son disque dur
Commentaires (55)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 04/11/2014 à 16h12
" />
Le 04/11/2014 à 16h16
" /> " />
Le 04/11/2014 à 16h16
" />
" />
Le 04/11/2014 à 16h17
" />
Apple, au courant de la faille mais ils ne vont quand même pas boucher le trou de sécurité en dehors des périodes de mise à jours!
Et encore personne n’en sait rien. “période supposée où un patch correcteur devrait donc être disponible”
Le 05/11/2014 à 08h31
Le 05/11/2014 à 08h40
rootpipe c’est nouveau ? la pipe de la route
Le 05/11/2014 à 08h54
Le 05/11/2014 à 09h35
Le 05/11/2014 à 12h24
Le 05/11/2014 à 16h32
Le 05/11/2014 à 21h25
sudo su - ? " />
Le 06/11/2014 à 10h52
Mais il faut être dans le groupe des sudo pour pouvoir faire ça, un user basique ne peu pas faire de sudo. Mais bon, dans 99% des cas, c’est le compte créer a l’installation qui est utilisé, donc un compte avec les privilège sudo.
Par contre pour firevault ça me parait bizarre sont conseil, il me semblé que le home des utilisateur était décrypter au loggin, donc si l’utilisateur est logger sa protège absolument pas.
lateo a écrit :sudo su - ? " />
ptin ca marche en plus -_-
Le 06/11/2014 à 11h07
Le 04/11/2014 à 19h26
Tu préfères la merde par le patch à un piratage en règle ?
Le pirate tu ne pourras pas le rappeler.
Le 04/11/2014 à 19h38
Le 04/11/2014 à 19h41
Vu que ça passe par Sudo, une idée de si c’est reproductible sur du GNU/Linux ?
Le 04/11/2014 à 20h54
Le 04/11/2014 à 21h32
Entre ça et les un peu moins de 4 millions de compte itunes hackés … dure semaine pour Apple " />
Le 04/11/2014 à 22h23
Le 04/11/2014 à 22h31
Le 04/11/2014 à 22h47
Le 05/11/2014 à 01h02
Le 05/11/2014 à 07h05
Le 04/11/2014 à 16h58
Tu a rate tout le cote critique de la faille en question.
Cette faille permet avec un compte administrateur (ATTENTION, pas un compte root, un compte administrateur comme celui que tu a creer au premier demarrage du systeme/de ton ordi) d’exploiter sudo pour passe en ROOT sans demander le mot de passe.
Il conseille d’utilise un compte standard, car a la difference d’un compte administrateur, un compte standard n’est pas autorise a utilise sudo (Et donc n’est pas autorise a faire des modification sur le systeme, meme avec un mot de passe.)
Le 04/11/2014 à 17h12
d’façon, sudo c’est pour les faibles, Su est la vraie commande " />
Le 04/11/2014 à 17h18
“Il faut simplement espérer qu’elle ne sera pas exploitée, en particulier dans le cas où l’action peut se faire à distance.”
“Peut” ou “pourrait” ?
Le 04/11/2014 à 17h21
Eh les gens, pour ceux qui ne le savent pas encore, pas besoin de hacker la commande sudo, sur OS X il suffit de démarrer en Single User pour se faire un nouveau compte admin / renommer l’ancien, changer son MdP ou tout ce que vous voulez, donc bon, le sudo sur OS X ça reste surtout un gadget histoire d’avoir un MdP mais c’est tout, un hacker averti fera bien tout ce qu’il voudra avec un Mac.
Le 04/11/2014 à 17h24
Le 04/11/2014 à 17h25
Le 04/11/2014 à 17h26
Ouai enfin le single user n’a rien d’une faille, c’est un fonctionnement normal :).
Le 04/11/2014 à 17h31
Le 04/11/2014 à 17h31
Le 04/11/2014 à 17h39
Et surtout, il faut être physiquement présent devant le Mac (et avoir le temps d’agir) , ce qui limte bcp.
Le 04/11/2014 à 17h39
mais le single user implique un accès physique j’imagine ? Le sudo protège root d’une prise de contrôle a distance
Grilled
Le 04/11/2014 à 17h53
Le 04/11/2014 à 17h57
Le 04/11/2014 à 18h22
Le découvreur de la brèche a fait part de sa trouvaille il y a plusieurs
semaines, mais il faudra attendre janvier prochain pour un correctif.
Ça c’est de la réactivité…" />
Le 04/11/2014 à 18h27
Le 04/11/2014 à 18h49
Le 04/11/2014 à 16h18
Et ce soir, à la télévision :
« Roofpipe, la nouvelle faille de Bash qui peut plier votre iPhone. » " />
Le 04/11/2014 à 16h21
rooFpipe ? ou rooTpipe ?
Les 2 apparaissent :x
Le 04/11/2014 à 16h23
Quasi à chaque fois que je lis une news Apple, c’est pour annoncer un problème (ISO 8.0.1, bendgate, Iphone 6 PLus qui crashe, Apple Pay qui paye en double ….).
Ah quand une news sans blème ?!?! " />
Le 04/11/2014 à 16h26
et en exclu sur reddit
Le 04/11/2014 à 16h29
Unix / LInux sont-ils impactés par cette faille ?
Le 04/11/2014 à 16h29
C’est peut etre juste que cette faille n’est pas corrigeable rapidement et qu’il faut passer beaucoup de tests de qualité avant de publier le patch parce que sudo est une des bases des mécanismes de sécurité et du fonctionnement de MacOSX, non ?
La Sécurité est fondamentale mais elle ne peut pas se substituer aux principes de base. Et le tout 1er principe est que ca doit marcher… Donc il me semble normal que meme pour un patch qui bouche une faille, il soit necessaire de passer les controles qualité avec la plus grande des rigueurs.
Y’a rien de pire qu’un patch qui est censé combler une faille et qui créé des bugs.
Combien de types dans ton genre tomberaient sur le dos d’Apple si celui ci deployait un patch pas bien testé qui foutrait la merde dans certains cas ?
Le 04/11/2014 à 16h30
Et même pas un commentaire de hater sudo ?
Tout se perd…
Le 04/11/2014 à 16h31
On peut parler de “faille” de sécurité ? vu qu’il faut être en mode root (Sudo) et donc pouvoir effectuer une action nécessitant des privilèges administrateur. (qui demande un môt de passe sous OS X) .
Le 04/11/2014 à 16h35
Le 04/11/2014 à 16h35
Le 04/11/2014 à 16h41
Le 04/11/2014 à 16h42
A mon avis, tu te trompes du tout au tout. Par défaut la création du premier compte OSX est un compte administrateur et l’immense majorité des gens ne partageant pas leur ordinateur avec d’autres personnes et n’y connaissant pas forcément grand chose à la sécu informatique, surement l’immense majorité des utilisateurs de OSX, utilisent donc quotidiennement un compte administrateur comme compte principal …
Donc oui c’est bien une faille de sécurité parce que ce contournement ne devrait évidemment pas être possible sur la machine et que cette faille concerne potentiellement un nombre assez important d’utilisateurs. Son exploitation effective est une toute autre question elle.
Edit: et arrete avec ton numéro de fanboy. Apple met clairement bien trop longtemps à patcher les failles de sécurité des ses OS. Certaines sont d’ailleurs toujours présentes sur d’anciennes versions (Lion, Mountain Lion) qu’Apple ne corrigera jamais … Une honte tout simplement.
Le 04/11/2014 à 16h44
Le 04/11/2014 à 16h46
C’est pas l’inverse justement ? D’après ce que je comprends c’est l’user qui fait un sudo pour exécuter une action en root, d’habitude ça demande le mot de passe sauf que là non.. Il y aurait donc une élévation des privilège sans connaître le mot de passe.. Enfin c’est ce que j’aiccompris de la news..
Le 04/11/2014 à 16h48
Bien sûr que non, ça part d’un compte normal, cf la vidéo. " />
Le 04/11/2014 à 16h48