Faille OSX Lion avec les mots de passe - MàJ

Le par  |  3 commentaire(s)
macosxlionlogo2

Une faille dans Mac OS X 10.7 alias Lion permet d'accéder sans privilège root aux hashes des mots de passe des utilisateurs. Un risque limité et surtout dans le cadre d'une utilisation multi-utilisateur.

macosxlionlogo2Sur son blog Defence in Depth, Patrick Dunstan relate une trouvaille assez surprenante touchant à la sécurité des mots de passe sous le dernier né des systèmes d'exploitation Mac OS X.

D'après le chercheur, une simple commande ( dscl localhost -passwd /Search/Users/nom_utilisateur ) permet de réinitialiser un mot de passe sans que pour cela la saisie de l'ancien mot de passe soit nécessaire. " Il semble que Directory Services dans Lion ne nécessite plus une authentification lors d'une demande de modification de mot de passe pour l'utilisateur courant ".

On ne parle toutefois pas ici d'une attaque à distance. Il faut avoir un accès physique à l'ordinateur, et qui plus est, la session de l'utilisateur pris pour cible doit être ouverte.

Un autre pendant de la faille existe. Le système permet en effet d'avoir accès à des fichiers cachés qui ne devraient normalement pas l'être à moins de posséder des droits élevés ( root ). Ces fichiers contiennent les hashes de tous les mots de passe des autres utilisateurs. Évidemment, il faut ensuite opérer une attaque avec des outils spécifiques pour tenter de dévoiler les mots de passe ( Patrick Dunstan propose un script Python pour aider au déchiffrement ). Tout dépend alors de leur complexité.

À voir si Apple prêtera attention à cette faille et jugera nécessaire le cas échéant de proposer un correctif.

MàJ : article mis à jour pour prendre en compte les constations de plusieurs sites de sécurité.

Complément d'information

Vos commentaires

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #833991
L'homme qui a vu l'homme qui a vu l'homme qui a vu l'homme qui a peut-être vu l'ours.
Le #834031
il n'est pas nécessaire d'attaquer en brute force si on a les hashes. Le brute force, ça consiste à tester TOUS les mots de passes possibles.

Avec les hashes, il suffit d'utiliser une table de hashes pré-calculée. C'est par cette méthode qu'on trouve les mots de passe windows en 10 secondes...

Le #834131
L’intérêt est plutôt de faire exécuter un dump (via la passoire Safari) du fichier de la victime ciblée pour deviner le reste de ses mots de passes (gmail, twitter, ... ).
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]