Cette faille de sécurité vient de la manière avec laquelle macOS implémente une routine d’optimisation de la mémoire et de protection utilisée par tous les systèmes de fichiers du système d’exploitation, appelée copy-on-write (COW).
Le principe de COW est de permettre à différents processus de partager le même objet de données en mémoire de manière efficace et sécurisée jusqu’à ce qu’ils aient besoin de le modifier d’une manière ou d’une autre. A ce stade, ils doivent créer leur propre copie de données plutôt que de modifier les données en mémoire.
Jann Horn, de Google, a écrit :
Il est important que la mémoire copiée soit protégée vis à vis de modifications ultérieures effectuées par le processus source. Dans le cas contraire, le processus source pourrait alors exploiter des doubles lectures au niveau du processus de destination.
À l’aide de BuggyCow, les malwares déjà utilisés sur un Mac pourraient altérer la copie des données écrites sur le disque de manière invisible pour le système de fichiers :
Cela signifie que si un attaquant peut transformer un fichier sur disque sans en informer le sous-système de gestion virtuel, nous avons alors affaire à un bug de sécurité.
Si un processus privilégié est concerné, il peut alors s’agir d’un itinéraire menant à une élévation de privilèges capable d’interférer avec des données sensibles.
Le mécanisme spécifique utilisé dans la preuve-d’exploit développée par les chercheurs implique le démontage et le remontage du système de fichiers, ce qui ne génère apparemment aucun avertissement via la couche de gestion de la mémoire.
L’objection évidente est qu’un Mac sur lequel des malwares sont capables de lancer ce type d’attaque a déjà de gros problèmes, et ce même sans que cette technique, quelque peu compliquée, ne soit dans le domaine public. Mais ce qui manque, peut-être, à cette histoire plutôt intrigante, c’est la façon avec laquelle Apple a réagi (ou non) après que Google lui a fait part de ce problème.
Date limite dépassée
Le 30 novembre 2018, Project Zero a informé Apple de cette vulnérabilité, signifiant ainsi que le délai de 90 jours fixé par Project Zero pour que la société puisse résoudre le problème a expiré le 28 février.
Sans doute qu’Apple a d’autres priorités, qu’il s’agisse de problèmes plus urgents à régler ou bien du fait qu’il ne souhaite pas être bousculé par une équipe Google qui estime que la gravité est de niveau “élevé”. Horn, a écrit de manière diplomatique :
Nous avons été en contact avec Apple à propos de ce problème et, à ce stade, aucun correctif n’est disponible. Apple envisage de résoudre ce problème dans une prochaine version et nous travaillons ensemble pour évaluer les options d’un correctif. Nous mettrons à jour ce suivi de problèmes une fois que nous aurons plus de détails.
Apple n’a pas encore commenté cette faille, mais si vous êtes un utilisateur de macOS, pas de panique. C’est sur la liste des choses à faire.
Ce n’est pas la première fois que COW fait parler de lui. En 2016, une faille dans le noyau Linux appelée DirtyCOW (CVE-2016-5195) était apparue, et elle permettait un accès root, à savoir une variante de cette même faiblesse au niveau de l’élévation de privilèges.
Billet inspiré de Google reveals BuggyCow macOS security flaw, sur Sophos nakedsecurity.
