La vulnérabilité Zero-Day dans macOS Finder permet une exécution de code silencieuse

Une vulnérabilité zero-day récemment découverte dans le composant Finder de macOS permet l'exécution de code et l'exécution silencieuse de commandes arbitraires, ont révélé des chercheurs en sécurité. La divulgation a été faite via SSD Secure Disclosure - une plate-forme visant à signaler et à divulguer les vulnérabilités de manière responsable aux fournisseurs.

Selon les chercheurs, la vulnérabilité réside dans la façon dont macOS Finder traite les fichiers .inetloc. Ceux-ci ressemblent aux raccourcis Web utilisés sur les machines Windows, mais ont des fonctionnalités un peu plus larges. Un fichier .inetloc peut pointer non seulement vers un site Web ou une URL, mais également vers des flux d'actualités ou même des emplacements Telnet.

Le problème vient d'une fonctionnalité supplémentaire des fichiers .inetloc - ils peuvent pointer vers des documents locaux qui résident sur le disque dur d'un utilisateur, en utilisant le même format de fichier. Cela fonctionne de la même manière que les raccourcis de fichiers sur les systèmes Windows, où la partie http:// du fichier .inetloc est remplacée par file://.

Un acteur malveillant n'aurait qu'à créer un fichier .inetloc falsifié et malveillant contenant des commandes intégrées. Une fois le fichier falsifié produit, il ne s'agit que de le diffuser auprès d'un nombre suffisant de victimes, en utilisant des campagnes de spam et de l'ingénierie sociale pour amener les utilisateurs à ouvrir la pièce jointe malveillante.

Il est important de noter que le problème affecte également macOS Big Sur - la version actuelle du système d'exploitation et ne se limite pas aux versions anciennes ou non corrigées. Le problème a été signalé à la plate-forme SSD Secure Disclosure par un chercheur indépendant nommé Park Minchan.

En réponse, Apple a rapidement publié un correctif, mais n'a pas déposé d'entrée CVE pour le problème. Cependant, selon les chercheurs, le correctif n'a pas complètement résolu le problème.

Le correctif a empêché le préfixe file:// de fonctionner, mais le correctif était sensible à la casse, ce qui signifie que File:// peut toujours contourner le correctif.

ThreatPost a signalé qu'il n'y avait aucune information sur l'exploitation active de la vulnérabilité en question et a déclaré qu'ils n'avaient pas reçu de réponse lorsqu'ils ont contacté Apple pour d'autres commentaires.