La firme de Cupertino nous gratifie d'un correctif qu’il est urgent d’installer. Il concerne une faille de sécurité qui a été découverte il y a peu et qui permet à n'importe qui, localement ou à distance, d'accéder à un Mac sans en connaître le mot de passe. En effet, la manipulation est possible sans avoir à entrer un seul mot de passe, uniquement en utilisant un compte root.

Concrètement, lorsque vous démarrez un Mac, vous arrivez sur la page de connexion. Si la session est protégée par un mot de passe et qu’un compte « autre » est disponible, il suffit d’entrer « root » comme nom d’utilisateur, de ne pas entrer de mot de passe et de valider la session. L’utilisateur a ensuite accès à tous les paramètres de l’appareil et peut modifier les autorisations à l’envie. La même manipulation fonctionne aussi depuis les paramètres du Mac.

C’est un développeur de chez Iyzico, Lemi Orhan Ergin, qui a découvert cette faille et qui l’a dévoilée sur Twitter. Rapidement, Apple a dit travailler sur un correctif qui est arrivé hier en fin de journée.

Sauf que l’histoire ne s’arrête pas là. S’il est fortement recommandé d’installer le patch de sécurité qu’Apple a déployé et qui vise tous les Mac qui sont sous macOS High Sierra 10.13.1 (la bêta 10.13.2 n’est pas concernée), ce patch apporte avec lui un nouveau bug comme le signale l’équipe de Slice42. En effet, la fonction de partage de fichiers est court-circuitée : problèmes d’authentification ou d’accès à des volumes connectés. Slice42 explique justement qu’un correctif manuel est disponible pour ceux qui n’ont pas peur de se servir du Terminal. Dans tous les cas, la firme de Cupertino est certainement déjà sur le coup.

Source