La faille rootpipe prend racine dans OS X (y compris 10.10.3)
Malgré la sortie d'un correctif au début du mois, la vulnérabilité rootpipe n'est pas de l'histoire ancienne.
D'une part, Apple n'a publié ce patch que pour OS X 10.10.3. Les versions antérieures du système sont donc toujours affectées par cette vulnérabilité qui permet d'escalader les droits pour prendre le plein contrôle (accès root) de la machine sans le mot de passe administrateur.
Apple a indiqué au chercheur Emil Kvarnhammar, qui a dévoilé publiquement tous les détails sur sa découverte après la sortie du correctif, qu'il n'y avait pas de mise à jour de sécurité pour les anciennes versions car cela demandait des « changements significatifs ».
C'est faux, rétorque fG!. Le hacker explique dans un billet qu'il est « possible de corriger rootpipe dans les anciennes versions d'OS X sans changement majeur ». Il assure qu'Apple n'a pas besoin de développer d'extension pour le kernel (noyau) et détaille toutes les modifications qui permettraient de corriger la faille dans 10.10.2 et antérieure.
« La réponse d'Apple à ce problème est totalement inacceptable. Il n'y a pas de déclaration officielle de fin de support pour ces versions d'OS X, s'insurge fG!. Laisser les utilisateurs exposés à des vulnérabilités aussi dangereuses et avec des exploits dévoilés publiquement est tout simplement irresponsable. »
Si rootpipe n'est vraiment pas de l'histoire ancienne, c'est aussi parce qu'Apple n'a apparemment pas correctement bouché la faille dans 10.10.3. Objective-See, spécialisé dans les logiciels de sécurité, affirme avoir trouvé « une manière triviale pour tout utilisateur local d'abuser de nouveau de rootpipe — y compris sur un 10.10.3 patché. » Les informations techniques ne sont pas divulguées publiquement afin d'éviter toute exploitation. Objective-See dit avoir prévenu Apple.
Rappelons que pour qu'un malandrin exploite rootpipe, il doit avoir un accès physique à la machine ou passer par le biais d'un malware dans le cas d'un accès distant.
Je ne suis pas expert en sécurité mais ça ,c'est de la très mauvaise pub....
Effectivement!
OS X n'est plus l'OS le plus avancé du monde mais un qui prend de plus en plus de retard et devient une usine a gaz digne de Windows Vista.
Au lieu de mettre des dizaines de millions de dollars en marketing pur pour vendre le gadget Apple Watch, Apple ferait mieux de mettre ressources pour produire des OS stables, optimises et securises. Oersonne n'a besoin d'un OS qui change chaque annee et qui voit des fonctions apparaitre ou disparaitre comme des lapins dans un chapeau, par contre tout le monde a besoin d'un OS stable et performant ET securise!
Avec les failles qui se multiplient, on va finir par voir des vrais virus sur OS X et iOS, car rappellons le, iOS c'est OS X a 95%!
@C1rc3@0rc :
+1
Plutôt d'accord avec ton analyse… cette info craint… et du coup Apple craint… :-(
Comment un hacker peut ridiculiser Apple ...
@dragao13 :
Comment un ignorant peut se ridiculiser tout seul
T'as toujours pas appris à lire ?
Il a raison sur les dates de fin de support.
Il faut donc prendre note que maintenant seul Yosemite est réellement maintenu, la migration est obligatoire si l'on souhaite rester sous OS X.
En même temps ça a l'air d'être difficile à mettre en place.
Laisser les utilisateurs exposés à des vulnérabilités aussi dangereuses et avec des exploits dévoilés publiquement..."
Merci qui pour l'avoir publié ??
Ça fait 7 mois que la faille a été remontée à Apple, et 10 jours que c'est public.
Ce n'est même plus une faute cotée d'Apple, c'est totalement inacceptable et j'espère que les clients corp, vont demander des comptes, idem pour les individuels qui ont tout intérêt à monter une action de groupe (Apple juge la mise en oeuvre du correctif trop coûteuse).
Elle a même été utilisée dans un malware ya 1 ou 2ans ;)
Merci qui pour ne pas l'avoir corrigé ?
@bibi81 :
Aussi et d'abord oui c'est la responsabilité de Apple, et leur attitude est inacceptable! mais le gars qui l'a rendu public peut pas ensuite venir s'en plaindre, et c'est un bel hypocrite
? Il a contacté Apple, s'est mis ok sur un calendrier de divulgation, Apple a souhaité repoussé cette date, car les changements au niveau d'OS X étaient conséquent, la date de divulgation complète à été revue, et il y a eu ensuite une divulgation CVE partiel. Suite à cela Apple a publié son patch, et après la faille à eu le droit a une divulgation complète 7 mois plus tard (Google c'est 3mois max).
Bref, Normal quoi.
ça s'appelle forcer la main de la grosse feignasse pleine de fric !
Hypocrite ? Après avoir attendu sept mois sans qu'Apple ne bouge le petit doigt ???
Le mec nous rend service et on le traite d'hypocrite !!!
A sa place j'aurais même balancé la dernière manip avec 10.10.3 histoire qu'Apple se bouge le cul ... c'est juste honteux de délaisser à ce point la sécurité !
@dragao13 :
Il y a une différence entre le dire à Apple et le rendre public pour qu'une personne moins bien intentionné s'en serve! Et a la rigueur pourquoi pas si ça met la pression sur Apple mais venir se plaindre que ce soit une faille public c'est un peu fort!
C'est un peu fort de la part d'Apple surtout, c'est à dire que malgré le fait que ce soit rendu public, Apple chie sur ses clients ... vous avez payé et bien tant pis pour vos gueules, on ne maintient pas votre OS alors que le support est en cours !
Apple manque de moyens pour agir looool ???
Voilà ce que le mec dénonce : et il a mille fois raison !
C'est toujours important que des mecs nous révèlent la véritable nature des cuistres profiteurs !
@dragao13 :
Ah oui c'est sûr qu'il doit s'agir d'un ange! Il faut aussi être vachement naif pour penser qu'apple est une ong ou que google sont des anges! Business is business! Je pense que maintenant ils vont réagir
@dragao13 :
Et sue ce soit rendu public par le chercheur lui leme, c'est ce détail que je trouve cocasse
C'est marrant comment on justifie les saloperies d'une multinationale pour raison de business et que comment il faudrait qu'un mec ait toutes les vertus quand il dénonce une de ces saloperies ...
C'te bande de moutons avec lesquels il faut vivre putain !!!
@dragao13 :
C'est toi qui lui a donné toutes les vertues! Je n'ai pas dit qu'il n'aurait pas du faire ca et qu'apple réagisse bien. Mais si tu veux dire que dire ca c'est etre mouton ben ok, en fait tu ne prends dans mon propos que ce qui t'arrange
Ce que je veux dire c'est que face à l'importance des failles de sécurité dont Apple ne s'occupe pas et ne veut pas traiter, qu'est ce qu'on en a à foutre de tes jugements sur le comportements du mec qui les révèlent franchement ???
En plus, t'as vu où que je lui donne toutes les vertus ? c'est dans tes fantasmes ça !
Lui, il a fait son boulot ! Je me contrefous d'entrer dans des considérations de merde parce qu'on ose égratigner le sacrosaint Apple !
Encore une fois bravo à ce mec là de nous révéler les agissements d'Apple !
C'est pas parce qu'ils bénéficient de notre préférence, qu'on doit ne jamais rien remettre en cause : là, ils se foutent de notre gueule !
@dragao13 :
Mais je dis pas le contraire !!! J'arrête pas de répéter que Apple est scandaleux sur ce coup mais tes œillères t'empêchent de lire! Je dis juste que c'est pas le boulot du chercheur de rendre public une faille majeure! Mais si tu veux gueuler pour du vent et que ça te dérange pas qu'on rende public une faille qui peut être utilisée par des vrais hackers, tant mieux pour toi!
T'es extraordinaire toi !
Si il l'a trouvé c'est que d'autres avec d'autres intentions le peuvent aussi ... s'il la communique à Apple et qu'ils font que dalle ... il leur met la pression en la divulguant !
De nombreux hackers le font pour windows et ils corrigent ... ça marche comme ça depuis longtemps !
Il a eu raison de ne pas lâcher l'affaire, c'est ce que j'essaie de faire comprendre à ta position naïve !
@dragao13 :
Ben voila il l'a fait et Apple va sûrement le corriger! Tant mieux alors vivement toutes les failles de tous les systèmes informatiques publiées en ligne on va bien se marrer!
Si tu es d'accord avec l'inconscience de Apple mais pas avec, dans une certaine mesure, celle du hacker, c'est ton avis. J'ai pas dit qu'il aurait du laisser tomber l'affaire! Il aurait pu rendre public l'info sans publier la totalité de la chose! Si d'autres auraient pu trouver la faille ils n'auront plus à le faire il leur a servi sur un plateau !
désolé multiple posts
d
@dragao13 :
Juste des ignares qui ne comprennent pas comment les chercheurs en sécurité bossent. Ils ont le cerveau bien lavé de tout sens critique. Bref Apple est de plus en plus décevante, il viendront nous gaver d' "amazing" dans leur prochaine keynote en masquant les sérieux problème de qualité autant software que hardware
@rimshot :
Rien à voir! En informatique, il y aura toujours des failles! Ce qu'un homme créé un autre peut le contourner! Qu'Apple ne réponde pas convenablement sur les anciens firmwares supportés , c'est scandaleux mais Google a fait la même chose! Le seul truc que je trouve un peu discutable c'est que ces chercheurs rendent public ces failles, ils ont donc aussi une certaine part de responsabilité à leur niveau.
Il faudrait que ces retours entre l'industrie et ces chercheurs soit normés au sein de l'ensemble des grands acteurs mais il faudrait une bonne volonté de toutes ces entreprises.
"c'est scandaleux, mais Google a fait la même chose! ", non pour la bonne est simple raison que sur desktop et laptop Chrome n'est maintenu que dans sa dernière version (que ce soit en stable, beta, dev, et canary).
De plus la date de fin de maintenance des versions stables des machines Chrome OS est connue à l'achat contractuellement (5 ans), chez Apple : rien, personne ne sait réellement hormis Apple.
@lmouillart :
Je parlais d'Android, mais tu pourrais peut-être le dire que c'est pas la même chose :)
Effectivement rien à voir, mais pour Android c'est clair et défini 18 mois par Google, 24 mois au moins (soit la durée de la garantie) par les constructeurs.
@lmouillart :
Et windows?
Chez Microsoft pour les Windows "standards" c'est contractuellement 11 ans pour les versions classiques (exception faite de XP pour qui cela a duré 13 ans), pour les système embarqué c'est plus long : 16 ans.
@lmouillart :
Merci! :)
@lmouillart :
Pour Apple, c'est vrai par contre
Ne pas combler la faille sur des OS qui n'ont même pas 5 ans relève du foutage de gueule.
Le seul regret : apple a mis en place sandboxing mais ne s oriente pas vers la génération de selinux. Cela résoudrait pas totalement les rootpipe mais il est plus difficile d installer des malwares dans ce type d environnement. Je serai assez étonné que l environnement ne doit pas chrootes. De plus les commandes subi sont assez pénibles sur Mac OS X. Ce manque de souplesse peut poser un problème pour l installation de privilège en mode shadow. Car on appel de privilège et l installation de mysql sur mac oblige des appels.
Exemple
Faire un export d une table vers un répertoire. Vous ne pouvez pas copier votre fichier vers vos documents dans un appel administrer.
Si vous ouvrez un Shell, chaque commande sudo dans l univers administrateur réclame un mot de passe. Si on est craintif, on doit créer deux univers. De plus on peut changer son password avant installation et remettre son mot passe admin après
Dans le cas d un programme qui récupère le mot de passe, il ne pourra installer un programme en différé. Dans le monde Linux, il existe selinux et aide qui vous contrôle les changements profonds des fichiers
En même temps c'est vrai, Apple est un peu juste en tréso pour payer des développeurs sur ce sujet. Ils n'ont que 134 milliards de dispo (ou approchant), donc la fin de mois pourrait être difficile, avec l'URSSAF, la TVA ... non je comprend leur prudence en ces temps difficiles.
Ce n'est surement pas un soucis de trésorerie alors. Ce n'est pas en augmentant le nombre de développeurs que cela rend plus rapide la résolution de soucis.
Le buzz autour de cette histoire va peut-être finir par forcer Apple à intervenir.
En terme d'image c'est assez désastreux.
Désastreux en terme d'image? T'as déjà vu Apple se soucier de ça? On entends très souvent des clients se plaindre par paquets et criant au scandale, et au final ils se taisent et restent clients bien fidèles à la paroisse pommée bien qu'Apple fasse souvent la sourde oreille irrespectueuse (écrans, CG, antennagates...).
Encore une preuve qu'Apple se fout de la sécurité comme de leur première chaussette.
Ça n'est pas nouveau, mais je pensais bêtement que cela s'était amélioré ces derniers temps.
Bref, il y a loin entre le discours et les actes…
@EBLIS :
Il ne doit pas y avoir tant de plaintes que ça sinon apple n'aurait pas ces résultats! C'est simple, quand on n'est pas satisfait, on change de crémerie. Il n'y a que les technophiles qui ont ce genre de débat
C'est simple, le logiciel ce n'est pas le cœur de métier d'Apple, c'est un "constructeur" de matériel, tel un Samsung, le logiciel n'est là que pour valoriser et animer le matériel.
@lmouillart :
Pas vraiment puisqu'a la différence de Samsung, il développe ses logiciels de A à Z
Samsung aussi, pas sur tous les systèmes par contre effectivement.
Pages