Une vulnérabilité de sécurité importante a été découverte avec macOS High Sierra, permettant potentiellement à toute personne de se connecter à un Mac avec des capacités d'administration root complètes sans mot de passe.

Il s'agit d'un problème de sécurité urgent, et bien qu'une mise à jour logicielle devrait bientôt arriver pour résoudre le problème, cet article détaillera comment protéger votre Mac de cette faille de sécurité.

Mise à jour importante : Apple a publié la mise à jour de sécurité 2017-001 pour macOS High Sierra afin de corriger le bogue de connexion root, téléchargez-la maintenant. Si vous utilisez macOS High Sierra, téléchargez la mise à jour dès que possible sur votre Mac.

Qu'est-ce que le bug de connexion root et pourquoi est-ce important ?

Pour un aperçu rapide, la faille de sécurité permet à une personne d'entrer "root" comme nom d'utilisateur, puis de se connecter immédiatement en tant que root au Mac, sans mot de passe. La connexion root sans mot de passe peut se produire directement avec une machine physique sur l'écran de connexion utilisateur général affiché au démarrage, à partir des panneaux Préférences Système qui nécessitent généralement une authentification, ou même via VNC et la connexion à distance si ces deux dernières fonctionnalités d'accès à distance sont activées. Chacun de ces scénarios permet alors un accès complet à la machine MacOS High Sierra sans jamais utiliser de mot de passe.

Un compte d'utilisateur root fournit le plus haut niveau d'accès au système possible sur un MacOS ou tout système d'exploitation basé sur Unix, root accorde toutes les capacités des comptes d'utilisateurs administratifs sur la machine en plus d'un accès illimité à n'importe quel niveau du système composants ou fichiers.

Les utilisateurs de Mac concernés par le bogue de sécurité incluent toute personne exécutant macOS High Sierra 10.13, 10.13.1 ou 10.13.2 betas qui n'a pas précédemment activé le compte root ou modifié le mot de passe d'un compte utilisateur root sur le Mac avant, ce qui représente la grande majorité des utilisateurs de Mac exécutant High Sierra.

Ça a l'air mauvais, non ? C'est le cas, mais il existe une solution de contournement assez simple qui empêchera ce bogue de sécurité d'être un problème. Tout ce que vous avez à faire est de définir un mot de passe root sur le Mac concerné.

Comment empêcher la connexion root sans mot de passe dans MacOS High Sierra

Il existe deux approches pour empêcher la connexion root sans mot de passe sur une machine MacOS High Sierra, vous pouvez utiliser Directory Utility ou la ligne de commande. Nous couvrirons les deux. Directory Utility est peut-être plus facile pour la plupart des utilisateurs car il est entièrement réalisé à partir de l'interface graphique sur Mac, tandis que l'approche de la ligne de commande est basée sur du texte et généralement considérée comme plus complexe.

Utilisation de l'utilitaire d'annuaire pour verrouiller la racine

1. Ouvrez Spotlight sur Mac en appuyant sur Commande + Barre d'espace (ou en cliquant sur l'icône Spotlight dans le coin supérieur droit de la barre de menus) et tapez "Directory Utility" et appuyez sur Entrée pour lancer l'application



2. Cliquez sur la petite icône de cadenas dans le coin et authentifiez-vous avec un identifiant de compte administrateur



3. Déroulez maintenant le menu "Edition" et choisissez "Modifier le mot de passe racine…"



4. Entrez un mot de passe pour le compte utilisateur root et confirmez, puis cliquez sur "OK"



5. Fermeture de l'utilitaire d'annuaire

Si le compte d'utilisateur root n'est pas encore activé, choisissez "Activer l'utilisateur root", puis définissez un mot de passe à la place.

Essentiellement, tout ce que vous faites est d'attribuer un mot de passe au compte root, ce qui signifie que la connexion avec root nécessitera alors un mot de passe comme il se doit. Si vous n'attribuez pas de mot de passe à root de cette façon, étonnamment, une machine macOS High Sierra accepte une connexion root sans mot de passe du tout.

Utilisation de la ligne de commande pour attribuer un mot de passe racine

Les utilisateurs qui préfèrent utiliser la ligne de commande dans macOS peuvent également définir ou attribuer un mot de passe root avec sudo et l'ancienne commande passwd habituelle.

1. Ouvrez l'application Terminal, qui se trouve dans /Applications/Utilitaires/
2. Tapez exactement la syntaxe suivante dans le terminal, puis appuyez sur la touche de retour :

sudo passwd root

3. Entrez votre mot de passe administrateur pour vous authentifier et appuyez sur Entrée
4. Dans "Nouveau mot de passe", entrez un mot de passe que vous n'oublierez pas, appuyez sur Entrée et confirmez-le

Assurez-vous de définir le mot de passe root sur quelque chose dont vous vous souviendrez, ou peut-être même correspondre à votre mot de passe administrateur.

Comment savoir si mon Mac est affecté par le bogue de connexion root sans mot de passe ?

Il semble que seules les machines macOS High Sierra soient affectées par ce bogue de sécurité. Le moyen le plus simple de vérifier si votre Mac est vulnérable au bogue de connexion root est d'essayer de vous connecter en tant que root, sans mot de passe.

Vous pouvez le faire à partir de l'écran de connexion au démarrage général ou via n'importe quel panneau d'authentification d'administrateur (en cliquant sur l'icône de verrouillage) disponible dans les Préférences Système comme FileVault ou Utilisateurs et groupes.

Mettez simplement "root" comme utilisateur, n'entrez pas de mot de passe et cliquez deux fois sur "Déverrouiller" - si le bogue vous affecte, vous serez alors connecté en tant que root ou bénéficierez des privilèges root. Vous devez appuyer deux fois sur "déverrouiller", la première fois que vous cliquez sur le bouton "déverrouiller", il crée le compte root avec un mot de passe vide, et la deuxième fois que vous cliquez sur "déverrouiller", il se connecte, permettant un accès root complet.

Le bogue, qui est essentiellement un exploit root 0day, a été signalé pour la première fois au public sur Twitter par @lemiorhan et a rapidement attiré l'attention de la vapeur et des médias en raison de la gravité potentielle de l'impact. Apple est apparemment au courant du problème et travaille sur une mise à jour logicielle pour résoudre le problème.

Le bogue de connexion racine affecte-t-il macOS Sierra, Mac OS X El Capitan ou une version antérieure ?

Le bogue de connexion root sans mot de passe semble affecter uniquement macOS High Sierra 10.13.x et ne semble pas affecter les versions antérieures des logiciels système macOS et Mac OS X.

De plus, si vous aviez précédemment activé root via la ligne de commande ou par Directory Utility, ou si vous aviez changé le mot de passe root à un autre moment, le bogue ne fonctionnerait pas sur une telle machine macOS High Sierra.

N'oubliez pas qu'Apple est conscient de ce problème et publiera prochainement une mise à jour de sécurité pour corriger le bogue. En attendant, rendez-vous service et définissez ou modifiez le mot de passe root sur les Mac exécutant macOS High Sierra pour les protéger contre tout accès non autorisé à la machine et à toutes ses données et son contenu.