macOS, découverte d’un exploit qui contourne la protection de l’intégrité du système

Un nouvel exploit macOS découvert par Microsoft pourrait contourner la protection de l’intégrité du système, mais Apple l’a récemment corrigé.

Apple a introduit la protection de l’intégrité du système (SIP) avec OS X El Capitan en 2015 pour ajouter plusieurs couches de sécurité qui empêchent les applications d’accéder et de modifier les fichiers système au niveau racine. Bien que les utilisateurs puissent désactiver manuellement cette fonctionnalité, ce n’est pas vraiment facile à faire. Mais Microsoft a trouvé un exploit qui pourrait permettre aux attaquants de contourner SIP.

Une vulnérabilité baptisée  » Migraine  » pourrait contourner la protection de l’intégrité du système de macOS et conduire à l’exécution de code arbitraire sur un appareil. L’exploit est ainsi nommé car il est lié à macOS Migration Assistant, un outil natif qui aide les utilisateurs à déplacer des données d’un Mac ou d’un PC Windows vers un autre Mac.

Comme l’a expliqué Microsoft, le contournement de SIP peut avoir de  » graves conséquences « , car cela permet aux attaquants d’accéder à tous les fichiers système, ce qui facilite l’installation des logiciels malveillants et des rootkits. L’exploit a pu le faire en utilisant un droit spécial conçu pour donner un accès root illimité à l’application Migration Assistant.

Dans une situation normale, l’outil Assistant de migration n’est accessible que pendant le processus de création d’un nouveau compte utilisateur, ce qui signifie que les pirates doivent non seulement forcer une déconnexion complète du système, mais ils doivent également avoir un accès physique au ordinateur. Mais pour démontrer le risque potentiel de cet exploit, Microsoft a montré qu’il existait un moyen d’en tirer parti sans se soucier des limitations énumérées ci-dessus.

Microsoft a modifié l’utilitaire Migration Assistant pour qu’il s’exécute sans déconnecter l’utilisateur. Mais changer l’application l’a fait planter en raison d’une erreur de conception. Ce que les chercheurs en sécurité ont fait, c’est exécuter l’assistant de configuration (l’application qui vous guide lors de la première configuration d’un Mac) en mode débogage, il a donc ignoré le fait que l’assistant de migration a été modifié et qu’il manquait une signature valide.

Étant donné que l’assistant de configuration fonctionnait en mode débogage, les chercheurs pouvaient facilement ignorer les étapes du processus de configuration et accéder directement à l’assistant de migration. Mais même en cours d’exécution dans l’environnement macOS, cela nécessiterait toujours de restaurer un disque et d’interagir avec l’interface.

Pour exploiter davantage l’exploit, Microsoft a créé une petite sauvegarde Time Machine de 1 Go contenant des logiciels malveillants. Les chercheurs ont donc créé un AppleScript qui monte automatiquement cette sauvegarde et interagit avec l’interface de l’assistant de migration sans que l’utilisateur ne s’en aperçoive. En conséquence, le Mac importerait des données à partir de cette sauvegarde malveillante.

Heureusement, vous n’avez pas à vous inquiéter si votre Mac exécute la dernière version de macOS Ventura. En effet, Microsoft a informé Apple de l’exploit, qui a été corrigé avec la mise à jour macOS 13.4, rendue publique le 18 mai.