Une nouvelle vulnérabilité critique de macOS expose ses utilisateurs à des risques majeurs de compromission.
Une faille trouvée par les chercheurs de Mysk permet à n’importe quelle commande de modifier les binaires de logiciels tiers installées depuis le web (messageries ou navigateurs mais pas seulement, tels que Signal, Brave, Chrome, Xcode, etc).
Cette modification s’effectue entièrement en arrière-plan, sans invite de mot de passe ni alerte visible.
Les binaires altérés prennent la place de l’application légitime peuvent alors accéder aux enregistrements du trousseau (keychain), et aux conteneurs protégés de l’application d’origine.
Cette vulnérabilité affecte macOS 26 et 27.
Elle ne touche pas les applications téléchargées depuis le Mac App Store, qui est cependant grandement déserté en pratique par les développeurs en raison de ses conditions peu avantageuses.
Les utilisateurs qui installent des logiciels depuis le web sur Mac, ce qui est la pratique la plus courante, sont particulièrement exposés.
Le problème a été rapporté à Apple il y a deux semaines, sans retour à ce jour.
Le code signing et TCC (Transparency, Consent, and Control) sont des piliers de la sécurité de cet OS. Leur contournement en l'espèce de manière totalement silencieuse érode la confiance dans l’ensemble de son modèle de sécurité.
Cette technique requiert un accès local à la machine, ce qui la rend particulièrement pertinente dans les scénarios de compromission physique ou d’accès persistant déjà établi.
Il convient de privilégier exclusivement les logiciels dans leurs versions Mac App Store lorsque disponibles, et d'éviter temporairement les téléchargements directs de logiciels sensibles depuis les sites web. Et de procéder si besoin à de nombreuses désinstallations de logiciels téléchargés depuis le web.
Pour les individus ayant un niveau de menace élevé, il convient sérieusement d'envisager une migration vers des environnements durcis et audités.
Les distributions GNU/Linux orientées sécurité offrent aujourd’hui un rapport robustesse/utilisabilité supérieur dans les scénarios les plus exigeants.
Comme à mon habitude, je recommande l'utilisation de KickSecure et de Secureblue, et si besoin de Qubes OS qui est la référence pour sa sécurité par compartimentation, avec une séparation forte des environnements via virtualisation.
Mais ces systèmes d'exploitation doivent nécessairement être combinés à des bonnes pratiques (vérification systématique des signatures, utilisation de Tor/Whonix, chiffrement du système, etc), pour constituer une posture de défense bien plus crédible face à des adversaires disposant de fortes ressources.
La sécurité n’est pas un produit mais un processus continu. Il faut toujours vigilant et adapter son stack en fonction de son niveau de risque réel. Je reste à votre disposition pour échanger sur des stratégies de durcissement ou d’audit de vos environnements.
Source :
- Tweet des chercheurs de Mysk portant sur la vulnérabilité qu'ils ont découvert, avec une vidéo à l'appui de leurs allégations : https://x.com/mysk_co/status/2070459081605685380. Tweet accessible alternativement sans compte X via le lien suivant : https://xcancel.com/mysk_co/status/2070459081605685380
Crédits image - Unsplash, Andras Vas