Une vulnérabilité de type "jour-zéro" identifiée par un chercheur indépendant sur le gestionnaire de mot passe de macOS (Keychain)

Un chercheur en sécurité indépendant, Linus Henze, a découvert une vulnérabilité de type "jour-zéro" sur la dernière version de macOS.

La vulnérabilité a été identifiée dans le logiciel Keychain d'Apple, gestionnaire de mots de passe du constructeur, et permet à un attaquant de récupérer la liste des mots de passe pour les sites et applications utilisés sur le poste. Le chercheur allemand, spécialisé dans la recherche de vulnérabilités sur les systèmes macOS et iOS, a publié une démonstration en vidéo de la preuve de faisabilité de l'exploitation de cette vulnérabilité qu'il a baptisée KeySteal.

L'exploitation de cette vulnérabilité ne nécessiterait pas de privilège d'administrateur, root ou d'invite de mots de passe. L'impact sur la confidentialité des données est élevée.

Détails techniques

Aucune identification CVE n'est actuellement attribuée à cette vulnérabilité et n'a fait l'objet d'aucune information de la part d'Apple.

Cette vulnérabilité pourrait être exploitée par un attaquant à l'aide d'un code spécialement conçu. Une fois le code injecté, l'attaquant pourrait récupérer des identifiants de type nom d'utilisateur et mot de passe de sites de toutes les applications faisant appel à Keychain. La compromission initiale pourrait être également effectuée en ajoutant le code dans une application légitime ou encore en visitant un site qui lancerait l'exécution du code malveillant.

L'ensemble de ces informations ont été confirmées par un autre chercheur, Patrick Wardle, qui a vraisemblablement eu la possibilité de reproduire lui-même l'exploit.

Apple ne propose pas à l'heure actuelle de correctifs pour les vulnérabilités identifiées pour macOS. De son côté, le chercheur a indiqué plusieurs solutions de contournement possibles en attendant une future mise à jour.

Informations
+

Risques

  • Exécution de code arbitraire

Criticité

  • Score CVSS : En cours d'évaluation.

Existence d’un code d’exploitation de la vulnérabilité

  • Une vidéo de preuve de concept a été publiée par le chercheur mais aucun code permettant d'exploiter la vulnérabilité n'est publiquement disponible pour le moment.

Composants & versions vulnérables

  • Les versions macOS Mojave (10.14.3) et antérieures sont impactées d'après le chercheur.

CVE

  • N/A

Recommandations
+

Mise en place de correctif de sécurité

  • Aucun correctif n'est disponible pour le moment.

Solution de contournement

  • Les solutions de contournements proposées par les chercheurs sont de verrouiller manuellement leur Keychain ou encore de configurer un mot de passe dédié à Keychain. Ces informations n'ont cependant pas pu être confirmées.