Le bug de sécurité MacOS High Sierra permet une connexion root sans mot de passe, voici un correctif

Une vulnérabilité de sécurité significative a été découverte avec macOS High Sierra, permettant potentiellement à toute personne de se connecter à un Mac avec des capacités d'administration root complètes sans mot de passe.

Il s'agit d'un problème de sécurité urgent, et alors qu'une mise à jour logicielle devrait arriver bientôt pour résoudre le problème, cet article détaillera comment protéger votre Mac de ce trou de sécurité.

Mise à jour importante: Apple a publié la mise à jour de sécurité 2017-001 pour macOS High Sierra afin de corriger le bogue de connexion root, téléchargez-le maintenant. Si vous utilisez macOS High Sierra, téléchargez la mise à jour dès que possible sur votre Mac.

Quel est le bogue de connexion root, et pourquoi est-ce important?

Pour un bref aperçu, le trou de sécurité permet à une personne d'entrer 'root' en tant que nom d'utilisateur, puis de se connecter immédiatement en tant que root sur le Mac, sans mot de passe. La connexion root sans mot de passe peut s'effectuer directement avec une machine physique sur l'écran de connexion général affiché au démarrage, depuis les panneaux Préférences Système qui nécessitent généralement une authentification, ou même via VNC et Connexion à distance si ces deux dernières fonctionnalités d'accès distant sont activées. Chacun de ces scénarios permet alors un accès complet à la machine MacOS High Sierra sans jamais utiliser de mot de passe.

Un compte utilisateur racine fournit le plus haut niveau d'accès au système sur un système d'exploitation MacOS ou unix, root accorde toutes les fonctionnalités des comptes d'utilisateurs administratifs sur la machine en plus d'un accès illimité aux composants ou fichiers du système.

Les utilisateurs de Mac affectés par le bogue de sécurité comprennent ceux qui exécutent des bêta de macOS High Sierra 10.13, 10.13.1 ou 10.13.2 qui n'ont pas activé le compte root auparavant ou qui ont précédemment changé le mot de passe d'un utilisateur root sur le Mac. Utilisateurs Mac exécutant High Sierra.

Ça a l'air mauvais, non? C'est le cas, mais il existe une solution de contournement assez simple qui empêchera ce bug de sécurité d'être un problème. Tout ce que vous avez à faire est de définir un mot de passe root sur le Mac concerné.

Comment empêcher la connexion root sans mot de passe dans MacOS High Sierra

Il existe deux approches pour empêcher la connexion root sans mot de passe sur une machine MacOS High Sierra, vous pouvez utiliser Directory Utility ou la ligne de commande. Nous couvrirons les deux. Directory Utility est peut-être plus facile pour la plupart des utilisateurs car il est entièrement réalisé à partir de l'interface graphique sur Mac, tandis que l'approche en ligne de commande est basée sur le texte et généralement considérée comme plus complexe.

Utilisation de l'utilitaire de répertoire pour verrouiller la racine

  1. Ouvrez Spotlight sur Mac en appuyant sur Commande + Barre d'espace (ou en cliquant sur l'icône Spotlight dans le coin supérieur droit de la barre de menus) et tapez "Utilitaire de répertoire" et appuyez sur Entrée pour lancer l'application.

  2. Cliquez sur l'icône du petit cadenas dans le coin et authentifiez-vous avec un compte administrateur.

  3. Maintenant, déroulez le menu "Edit" et choisissez "Change Root Password ..." ***

  4. Entrez un mot de passe pour le compte utilisateur root et confirmez, puis cliquez sur "OK"

  5. Fermer l'utilitaire de répertoire

*** Si le compte d'utilisateur root n'est pas encore activé, choisissez "Activer l'utilisateur racine", puis définissez un mot de passe à la place.

Essentiellement tout ce que vous faites est d'attribuer un mot de passe au compte root, ce qui signifie que la connexion avec root nécessitera alors un mot de passe comme il se doit. Si vous n'attribuez pas un mot de passe à root de cette façon, étonnamment, une machine macOS High Sierra accepte une connexion root sans mot de passe.

Utilisation de la ligne de commande pour attribuer un mot de passe racine

Les utilisateurs qui préfèrent utiliser la ligne de commande dans macOS peuvent également définir ou attribuer un mot de passe root avec sudo et la commande passwd classique.

  1. Ouvrez l'application Terminal, disponible dans / Applications / Utilities /
  2. Tapez la syntaxe suivante exactement dans le terminal, puis appuyez sur la touche de retour:

    3. sudo passwd root

  3. Entrez votre mot de passe d'administrateur pour vous authentifier et appuyez sur retour
  4. À "Nouveau mot de passe", entrez un mot de passe que vous n'oublierez pas, appuyez sur retour et confirmez

Assurez-vous de définir le mot de passe root sur quelque chose dont vous vous souviendrez, ou peut-être même correspondre à votre mot de passe administrateur.

Comment puis-je savoir si mon Mac est affecté par le bogue de connexion root sans mot de passe?

Il semble que seules les machines macOS High Sierra sont impactées par ce bug de sécurité. Le moyen le plus simple de vérifier si votre Mac est vulnérable au bogue de la connexion root est d'essayer de se connecter en tant que root, sans mot de passe.

Vous pouvez le faire à partir de l'écran de connexion au démarrage général ou via un panneau d'authentification d'administration (en cliquant sur l'icône de verrouillage) disponible dans les Préférences Système comme FileVault ou Utilisateurs et groupes.

Mettez simplement 'root' en tant qu'utilisateur, ne saisissez pas de mot de passe, et cliquez deux fois sur "Déverrouiller". Si le bogue vous concerne, vous serez connecté en tant que root ou privilèges root. Vous devez cliquer deux fois sur "déverrouiller". La première fois que vous cliquez sur le bouton "Déverrouiller", le compte root est créé avec un mot de passe vierge et la seconde fois que vous cliquez sur "Déverrouiller".

Le bug, qui est essentiellement un exploit racine de 0day, a été rapporté au public sur Twitter par @lemiorhan et a rapidement gagné en popularité et en médias en raison de la gravité potentielle de l'impact. Apple est apparemment au courant du problème et travaille sur une mise à jour logicielle pour résoudre le problème.

Est-ce que le bogue de connexion root affecte MacOS Sierra, Mac OS X El Capitan ou avant?

Le bogue de connexion root sans mot de passe semble avoir un impact sur macOS High Sierra 10.13.x et ne semble pas avoir d'impact sur les versions antérieures des logiciels système macOS et Mac OS X.

De plus, si vous aviez précédemment activé root via la ligne de commande ou par l'utilitaire de répertoire, ou si vous avez modifié le mot de passe root à un autre moment, le bogue ne fonctionnerait pas sur une machine macOS High Sierra.

Rappelez-vous, Apple est conscient de ce problème et publiera une mise à jour de sécurité dans un proche avenir pour résoudre le problème. En attendant, faites-vous plaisir et réglez ou modifiez le mot de passe root sur les Mac fonctionnant sous macOS High Sierra pour les protéger contre un accès total non autorisé à la machine et à toutes ses données et contenus.