Un bug de connexion crée une alerte de sécurité dans macOS High Sierra

Tous ceux qui utilisent la dernière version de MacOS d'Apple, la version High Sierra, sont vulnérables à un nouveau bug découvert qui permet à quelqu'un de contourner l'invite de connexion du mot de passe root pour leur donner un accès complet au système. Étonnamment, il ne s'agit pas non plus d'une astuce de piratage astucieuse - il suffit de cliquer plusieurs fois sur le bouton “connexion” jusqu'à ce qu'il vous laisse passer.

La faille a été découverte par le chef du Software Craftsmanship Turkey, le développeur de logiciels Lemi Orhan Ergin. Ergin a toutefois été très critiqué pour avoir publié le bogue, car il n'a pas contacté Apple en privé pour lui donner le temps de corriger la faille, il l'a simplement rendue publique, ce qui a rendu vulnérables des millions d'utilisateurs d'Apple.

Chère @AppleSupport, Nous avons remarqué un *GRAND* problème de sécurité dans MacOS High Sierra. N'importe qui peut se connecter en tant que "root" avec un mot de passe vide après avoir cliqué plusieurs fois sur le bouton de connexion. Êtes-vous au courant ? @Apple?

- Lemi Orhan Ergin (@lemiorhan) 28 novembre 2017

Si vous voulez vérifier si votre système est affecté, ouvrez la connexion racine via Préférences système>Utilisateurs et groupes> et appuyez simplement sur le bouton de connexion à plusieurs reprises. Si vous pouvez vous connecter sans entrer de mot de passe, vous êtes concerné.

Tout en travaillant sur un correctif, Apple a publié un communiqué proposant une solution de contournement simple pour l'instant. Ce qu'il faut faire, c'est définir un nouveau mot de passe root, ce qui implique de se connecter ou de configurer le compte root et d'y ajouter un mot de passe.

Elle a publié des instructions complètes sur comment faire, ici.

Cependant, il n'a pas fallu longtemps à Apple pour mettre en place un correctif officiel pour le problème. Connu sous le nom de Security Update 2017-001, il devrait être téléchargé automatiquement. Pour confirmer si votre système a été protégé par ce dernier, lisez la page de l'application. Article du blog d'Apple ici.