Le chercheur Patrick Wardle a découvert que dans certaines conditions, le Trousseau pouvait révéler les mots de passe stockés. Normalement, ces données sont bien à l’abris, car chiffrées avec une clé AES-256.

La vulnérabilité permet à une application d’extraire des identifiants pour d’autres services, alors qu’elle n’a en temps normal accès qu’à ses propres données. Le chercheur a démontré sa découverte, et indique avoir prévenu Apple le 7 septembre.

La firme a confirmé de son côté qu’un correctif était en préparation pour toutes les versions de macOS supportées. Wardle ne donnera aucun détail supplémentaire avant sa disponibilité.