Apple aujourd'hui confirmé à TechCrunch que le vient de sortir la mise à jour du logiciel macOS 11.3 corrige une vulnérabilité de sécurité qui aurait pu permettre à un pirate d'accéder à distance aux données sensibles d'un utilisateur en incitant un utilisateur à ouvrir un document falsifié.
'Tout ce que l'utilisateur aurait à faire est de double-cliquer - et aucune invite ou avertissement macOS n'est généré', a déclaré le chercheur en sécurité Cedric Owens, qui a découvert la vulnérabilité à la mi-mars, selon le rapport. Owens a développé une application de preuve de concept se faisant passer pour un document inoffensif qui exploite le bogue pour lancer l'application Calculator, mais il a déclaré que la vulnérabilité pourrait être exploitée à des fins plus néfastes.
Selon le chercheur en sécurité Patrick Wardle, la vulnérabilité était le résultat d'un bogue logique dans le code sous-jacent de macOS.
'En termes simples, les applications macOS ne sont pas un seul fichier mais un ensemble de fichiers différents dont l'application a besoin pour fonctionner, y compris un fichier de liste de propriétés qui indique à l'application où se trouvent les fichiers dont elle dépend', explique TechCrunch . 'Mais Owens a découvert que retirer ce fichier de propriétés et créer le bundle avec une structure particulière pouvait inciter macOS à ouvrir le bundle – et à exécuter le code à l'intérieur – sans déclencher d'avertissements.'
En plus de corriger le bogue dans macOS 11.3, Apple a déclaré TechCrunch il a corrigé les versions antérieures de macOS pour éviter les abus et mis à jour le système anti-malware intégré de macOS XProtect pour empêcher les logiciels malveillants d'exploiter la vulnérabilité. Le rapport indique que le bogue a été exploité pendant des mois, mais on ne sait pas combien d'utilisateurs ont été touchés.
Articles Populaires