Un développeur a signalé une faille de sécurité au niveau de macOS Ventura en octobre 2022 et il s’avère qu’Apple ne l’a toujours pas corrigée. Les détails ont donc été rendus publics.

macOS 13 Ventura MacBook Air iMac MacBook Pro

Apple traîne pour corriger une faille dans macOS

Jeff Johnson, le développeur qui a trouvé et signalé la faille de sécurité à Apple quelques jours avant la sortie de macOS Ventura, s’étonne de voir que rien n’a été fait pour la corriger. En général, les chercheurs en sécurité laissent 90 jours aux entreprises pour corriger les failles de sécurité, avant de rendre les détails publics. Cela pousse ainsi les entreprises à proposer relativement rapidement un correctif pour le public. Mais ici, Apple ne fait rien.

Jeff Johnson a découvert un contournement de la gestion des applications qui ne nécessite pas un accès complet au disque du Mac. Le 19 octobre 2022, il a signalé la faille à Apple, dans l’attente d’une réponse. Deux jours plus tard, Apple a bien pris conscience du problème, mais n’a pas sorti de correctif pour autant. « J’ai perdu toute confiance en Apple pour résoudre la faille en temps voulu », indique aujourd’hui le développeur.

Curieusement, le développeur a été cité dans les notes de sécurité de macOS Ventura 13.4 et a été informé que son signalement avait permis de corriger une autre faille, mais il n’a pas été payé. En effet, Apple lui a fait savoir qu’il n’avait pas été la première personne à faire le signalement.

Le fonctionnement de la vulnérabilité

Concernant la faille signalée il y a 10 mois, c’est en lien avec le système de sandbox des applications. Le développeur a découvert qu’une application sandboxée peut modifier des fichiers qu’elle ne devrait pas être en mesure de modifier. Il s’agit notamment de fichiers stockés dans le bundle d’une application notarisée qui est censée être protégée par la sécurité de la gestion des applications de macOS Ventura.

Bien qu’une application sandboxée ait un accès limité au système de fichiers, le dossier Applications de macOS fait partie de la sandbox. Une application non-sandboxée peut également ouvrir des fichiers dans une application sandboxée, ce qui peut étendre la sandbox de l’application sandboxée.

Si vous voulez tester, Jeff Johnson propose un projet Xcode qui inclut le code source, avec une application sandboxée contenue dans une version non-sandboxée.

La faille est toujours exploitable avec macOS 13.5.1, une mise à jour proposée par Apple il y a quelques jours.