Lancé en septembre, le macOS High Sierra a déjà une faille de sécurité ? très grave, d’ailleurs. La vulnérabilité a été découverte par le développeur Lemi Orhan Ergin et permet un accès root au système sans aucun mot de passe.
Lorsque l’utilisateur doit modifier un paramètre important ou écrire dans un dossier protégé, macOS lui demande le mot de passe administrateur. L’échec découvert permet à quelqu’un d’écrire “root” dans le champ utilisateur et de terminer le processus sans entrer le mot de passe.
En général, l’utilisateur root doit avoir un mot de passe, car il a des privilèges de lecture et d’écriture dans plusieurs zones du système et peut accéder aux fichiers des autres utilisateurs. En raison de ces avantages, qui peuvent donner lieu à une certaine invasion, il est désactivé par défaut.
Dans MacOS High Sierra, cependant, non seulement il peut être activé sans mot de passe, mais il est automatiquement créé lorsque quelqu’un essaie d’autoriser un processus par une connexion root. Il est donc important que vous ne testiez pas cette vulnérabilité à la maison, sinon l’utilisateur root sera créé et vous serez vulnérable.
Dans une déclaration à Bloomberg, Apple a reconnu le problème et a déclaré qu’elle travaillait sur une mise à jour du système pour le résoudre. Pour l’instant, la société recommande de définir un mot de passe pour l’utilisateur root.
Comment se protéger ?
Comme nous l’avons mentionné ci-dessus, la première étape pour se protéger est de ne pas essayer d’autoriser un processus avec l’utilisateur root. Si l’utilisateur root est créé, vous pouvez devenir vulnérable.
Vous pouvez vous protéger en définissant un mot de passe pour l’utilisateur root ? ou en le désactivant. Pour ce faire, suivez les étapes ci-dessous :
Allez à Préférences système Utilisateurs et groupes Options de démarrage ;
Cliquez sur le cadenas et entrez votre nom d’utilisateur et votre mot de passe ;
Dans “Network Account Server”, cliquez sur Connect… ;
Cliquez sur Open Directory Utility ? et ensuite le verrou pour saisir à nouveau votre mot de passe ;
Dans la barre de menu, cliquez sur Edit Change Root ? Password. ;
Allez-y ! Il suffit maintenant de définir un mot de passe pour l’utilisateur root. Si cette option est grisée et que l’utilisateur root est désactivé, vous n’avez rien à faire. Si vous n’avez pas besoin des autorisations de super-utilisateur, vous pouvez le laisser désactivé.
Mise à jour d’urgence
Apple a publié une mise à jour d’urgence pour corriger la défaillance de MacOS High Sierra. Le téléchargement est disponible pour tous les utilisateurs dans la version 10.13.1 sur le Mac App Store.
Mise à jour à 14h41 avec le téléchargement du correctif d’urgence.
