Technologie
Apple Safari web apps webkit macOS » decoding= »async » fetchpriority= »high »>Les entreprises technologiques, dont Apple, s’efforcent continuellement d’améliorer la sécurité de leurs systèmes d’exploitation. Cependant, certaines vulnérabilités demeurent inaperçues. Un exploit datant de 18 ans est encore utilisé par des hackers pour infiltrer des réseaux internes, mais Apple a déjà annoncé qu’il serait corrigé dans macOS Sequoia.
Une vulnérabilité dans macOS facilite l’accès des hackers aux réseaux privés
Des chercheurs en sécurité d’Oligo ont expliqué le fonctionnement de cette faille. En substance, les hackers exploitent la manière dont les navigateurs web tels que Safari, Chrome et Firefox gèrent les requêtes vers une adresse IP 0.0.0.0, en redirigeant ces requêtes vers d’autres adresses IP.
Dans certains cas, ces requêtes sont redirigées vers « localhost », souvent utilisé comme serveur interne pour tester du code en développement. Cela permet aux hackers de récupérer des fichiers et d’autres données sensibles sur les serveurs d’entreprise. « Le code des développeurs et les messages internes sont de bons exemples des informations accessibles immédiatement », a déclaré le chercheur Avi Lumelsky.
Selon les chercheurs, certains hackers parviennent même à exécuter du code malveillant sur des serveurs hébergeant le cadre Ray AI, utilisé pour former des modèles d’intelligence artificielle par des entreprises comme Amazon et Intel. Fait intéressant, de telles attaques ne sont possibles que sur macOS et Linux, Microsoft ayant choisi de bloquer l’adresse 0.0.0.0 sur Windows.
Apple s’attaque à la vulnérabilité
Suite à ces révélations, Apple a informé Forbes qu’il bloquera toutes les tentatives d’accès à 0.0.0.0 avec la version bêta de macOS Sequoia. Il n’est pas encore clair si le correctif est déjà inclus dans la dernière version bêta ou s’il sera disponible dans une mise à jour future. L’équipe de sécurité de Google a également annoncé son intention de mettre en œuvre une solution similaire dans une prochaine mise à jour de Chrome.
Quant à Firefox, Mozilla n’a pas encore proposé de solution. Un porte-parole de l’entreprise a exprimé des préoccupations concernant l’imposition de telles restrictions, qui pourraient entraîner des « problèmes de compatibilité ».
Les chercheurs d’Oligo partageront davantage de détails sur leurs découvertes ce week-end lors de la conférence DEF CON à Las Vegas.
À lire également :
- macOS Sequoia introduit une demande de permission hebdomadaire pour les applications de capture d’écran et d’enregistrement d’écran
- macOS Sequoia complique l’exécution d’applications ne respectant pas les règles de sécurité d’Apple
