Vous pensiez macOS invulnérable, ou presque ? Détrompez-vous… Et c’est Microsoft qui en apporte la preuve.
C’est un drôle de coup du sort. Microsoft vient tout juste de communiquer publiquement sur la découverte d’une vulnérabilité dans… macOS. La faille baptisée HM Surf, estampillée CVE-2024-44133, atteint un score CVSS de 5.5 (niveau de criticité moyen), et permet à des cyberattaquants de contourner les restrictions TCC dans Safari pour accéder à des informations sensibles stockées sur les ordinateurs Mac. Un correctif est déjà disponible depuis le mois de septembre. Si vous attendiez encore avant de mettre à jour macOS Sequoia, c’est le moment ou jamais.
La protection renforcée TCC à l’épreuve
Dans les grandes lignes, la protection TCC (Transparence, Consentement et Contôle) assure la gestion des permissions en veillant à ce que les applications ne puissent accéder à des données sensibles sans l’autorisation explicite de l'utilisateur. C’est notamment cette technologie qui génère des pop-ups, et qui vous permet d’autoriser, ou de refuser, l’accès au micro, à la caméra, à la localisation, etc.
Mais comme viennent de le démontrer les équipes de Microsoft Threat Intelligence, TCC n’est pas inébranlable. Dans le détail, les chercheurs et chercheuses ont décelé une faiblesse dans la gestion des fichiers de configuration de ~/Library/Safari, où sont stockées les préférences d’autorisation. En accédant à ces fichiers, des attaquants peuvent manipuler ces réglages pour faire sauter la protection TCC, et ainsi désactiver les restrictions d’accès initialement paramétrées par les internautes.
En clair, une fois TCC contournée dans Safari, les pirates ont le champ libre pour enregistrer des flux vidéo et audio à l’insu des utilisateurs et utilisatrices de Safari. Une menace à prendre d’autant plus au sérieux que Microsoft soupçonne la vulnérabilité d’être activement exploitée par Adload, famille de malwares très répandus sur macOS.
Des risques plus importants pour les navigateurs tiers
Si Safari bénéficie d'une couche de protection supplémentaire grâce à TCC, les navigateurs tiers comme Chrome et Firefox ne jouissent pas des mêmes avantages. On l’a vu, TCC est conçu pour protéger les données sensibles de l’utilisateur, mais il fonctionne de manière rigide avec Safari et les autres applis macOS, qui disposent de droits spécifiques (entitlements) pour renforcer ces protections.
En revanche, Chrome, Firefox et consorts sont plus vulnérables dans la mesure où ils ne peuvent pas s’appuyer sur ces entitlements privés. Par conséquent, les fichiers de configuration utilisés pour gérer les permissions sont plus faciles à manipuler, même s'ils profitent de certaines mesures de protection liées à macOS.
En réponse à ces enjeux externes, Microsoft a confirmé collaborer avec d’autres éditeurs majeurs de navigateurs, y compris Google et Mozilla. Objectif : trouver des solutions pérennes à une gestion actuelle peu solide des fichiers de configuration locaux.
Prévenue en amont de l’annonce publique relative à HM Surf, Apple a d’ores et déjà publié un correctif de sécurité, disponible depuis le 16 septembre. À vos mises à jour, donc !
Source : Microsoft
16 octobre 2024 à 11h48
