ALERTE DE SÉCURITÉ INTEGO – 19 juin 2008
Une vulnérabilité d’Apple Remote Desktop permet
aux programmes hostiles d’exécuter du code en tant que root

Exploit : élévation de privilèges root de l'élément ARDAgent

Découverte : 19 juin 2008

Risque : critique

Description : Une vulnérabilité a été découverte permettant à des programmes hostiles d’exécuter du code en tant que root, localement ou à distance, sur les ordinateurs Mac OS X 10.4 ou 10.5. Cette vulnérabilité exploite le fait qu’ARDAgent, élément du composant Remote Management de Mac OS X 10.4 et 10.5, possède un bit setuid. Tout utilisateur qui lance cet exécutable obtient les privilèges de l’utilisateur qui possède l'exécutable. Comme, dans ce cas, ARDAgent est la propriété de l’utilisateur root, l’exécution du code via l’exécutable ARDAgent est effectuée en tant que root sans qu’il soit nécessaire de saisir un mot de passe. L’exploit dont il est question repose sur la capacité d’ARDAgent à exécuter des AppleScripts, qui peuvent inclure des commandes de script shell.

Lorsqu’une application autorise une usurpation de privilèges root de ce type, toute exécution de code hostile peut avoir des effets désastreux. Cela peut aller de la suppression de tous les fichiers du Mac (quel que soit leur propriétaire) à des attaques plus pernicieuses comme la modification des réglages système et même, la configuration de tâches périodiques à exécuter de manière répétée. N’importe quelle application peut profiter de cette vulnérabilité pour obtenir des privilèges root sans qu’il soit nécessaire que l’utilisateur saisisse un mot de passe. L’utilisateur risque ainsi d’exécuter des programmes hostiles téléchargés depuis Internet ou provenant de messages envoyés par des amis ou des collègues et, si ces programmes exploitent cette vulnérabilité, il risque de subir des dégâts dès la première exécution. 

Cet exploit peut être déclenché par n’importe quel type de compte utilisateur : utilisateur standard, administrateur ou même compte d’invité. Ainsi, un utilisateur ayant ouvert une session via la fonction Compte d’invité de Mac OS X 10.5 peut télécharger une application et exécuter involontairement du code hostile sans recevoir d’avertissement de sécurité.

Moyens de protection : le meilleur moyen de se protéger contre cet exploit consiste à exécuter Intego VirusBarrier X5 incluant les  définitions de virus du 19 juin 2008. VirusBarrier X5 effectue une opération qui désactive la capacité d’ARDAgent à exécuter des AppleScripts. Intego conseille aux utilisateurs de ne jamais télécharger ni installer des logiciels provenant de sources incertaines ou de sites web suspects.

À propos d'Intego
Intego développe et vend des logiciels de sécurité Internet et de protection de la vie privée pour ordinateurs Macintosh.

Intego fournit la gamme la plus étendue de logiciels destinés à protéger les utilisateurs et leur Mac contre les dangers provenant d'Internet. Les logiciels et le support multilingues d'Intego, maintes fois primés par les magazines spécialisés Mac, protègent plus d'un million d'utilisateurs dans plus de 60 pays. Intego dispose de bureaux aux États-Unis, en France et au Japon. Pour plus d'informations, visitez le site www.intego.com.

À mesure que les dangers de l'Internet augmentent, Intego déploie toute son énergie pour développer de nouveaux logiciels destinés à protéger les utilisateurs et leur Mac contre les menaces les plus récentes pour la sécurité et la vie privée.

We protect your world.™ (Nous protégeons votre monde.)

# # # #

accueil | contacts