Une faille de sécurité dans Lion attend toujours sa correction

Florian Innocente |
Depuis la sortie de Lion à la fin juillet, une faille de sécurité avec des implications dans les entreprises attend son correctif. Le bug survient lorsque l'utilisateur doit se déclarer auprès d'un serveur d'annuaire et d'authentification de type LDAP (qui lui donnera ensuite accès aux ressources souhaitées).

Comme l'ont observé des administrateurs système, il suffit d'avoir l'identifiant d'une personne et d'entrer un quelconque mot de passe pour valider cet accès. Sachant que dans les entreprises les identifiants sont le plus souvent codifiés sur un principe identique pour tous, ce n'est pas l'information la plus compliquée à deviner. Cet accès facilité peut se faire aussi bien au travers de l'interface graphique de Lion que par une connexion au serveur via un tunnel SSH. Le problème n'existait pas avec Snow Leopard.

Apple aurait réussi à reproduire ce bug affirme The H Security. Mais la version 10.7.1 de Lion est arrivée sans correctif et il n'y a pas d'autre solution que de désactiver l'authentification par LDAP en l'attendant.
avatar Marc-Alouettes | 
@xatigrou [29/08/2011 13:34] A ce que je comprend, vous êtes un jeune débutant sûrement "hard gamer". Sachez que: 1) Le PC n'existait pas tandis que j'acquérais mon premier Apple II C en 1979 (vous n'étiez sans doute pas né ?) 2) Mac OS est issu d'une base Unix vulgarisée par Steve Jobs pour son OS Next qu'il a repris ensuite pour Apple. 3) MS a sans doute encore 95% du marché pour les jeux (dont moi-même quand mes petits enfants sont chez moi grâce à bootcamp). Mais je vois qu'il vous a échappé que même IBM ou HP, qui avaient des OS autrement plus fiables que Windows (qui n'est qu'une mauvaise copie de MacOS ) ont jeté l'éponge. Vous n'avez sans doute pas connu non plus le DOS (qui est toujours une sous couche de Windows ) ? Il vous a aussi échappé que Windows Phone a été un" bide" total quant à la tablette MS, ou est-elle ? Heureusement qu'il reste Google pour taquiner Apple. Sachez aussi que le PC est en déclin vertigineux au profit des tablettes qui sont en passe de remplacer doucement mais sûrement les PC. 4) Apple conçoit elle même ses puces et ce n'est pas demain la veille qu'il en sera autrement car c'est justement cela qui lui a permis d'être N°1 pour les baladeurs (contre Sony), N°1 des smartphones et tablettes (contre tout le monde). Il faut dire qu'elle n'a pas eu grand mal car c'est elle qui a créé le besoin qui a été suivi mais toujours avec 2 ou 3 métros de retard ( comme pour Windows mais qui est maintenant dans une impasse ) Je respecte votre choix comme hard gamer mais pas du tout l'historique que vous faites de l'informatique.
avatar Silence | 
Pour en revenir au sujet. D'après ce que j'ai compris de mes différentes lectures, il semblerait que le problème se manifeste de la façon suivante : Un utilisateur ouvre une session sur un Mac sous Lion, session validée par un LDAP. À partir de ce moment, toute tentative d'ouverture de session sur cet ordinateur sera validée que l'identifiant existe ou pas, que le mot de passe soit fourni ou pas. Une sorte de SSO global. Cela voudrait dire que le système utilise les informations de la première connexion et les applique à toutes les tentatives suivantes ? Même si la session initiale a été fermée ? Qu'en pensez-vous ? Hypothèse correcte ?
avatar liocec | 
@Silence : 'Tu dis que tu n'utilises pas d'outils tiers à la première utilisation d'une application Windows' Euh, monsieur, c'est pas moi qui ait dit ça, c'était une reprise ...
avatar liocec | 
@daito : 'Et encore du blabla.....Tu peux me raconter les mensonges et les histoires que tu veux' Tes parents t'ont peut-être bercé trop près du mur, parce que comme le dis un de mes gosses : "t'es grave, mec" !
avatar Silence | 
@liocec Toutes mes excuses dans ce cas ;-)

Pages

CONNEXION UTILISATEUR