project zero

Project Zero divulgue une faille du kernel MacOS

Les chercheurs en sécurité de l’équipe Project Zero de Google ont divulgué des détails et la preuve de concept d’une vulnérabilité présente dans macOS après que Apple n’ait pas réagi dans les 90 jours suivant la prise de connaissance de la faille.

Découverte par le chercheur de Project Zero, Jann Horn, et démontré par Ian Beer, la vulnérabilité réside dans la manière dont le kernel macOS XNU permet à un individu de manipuler les images filesystem sans informer le système d’exploitation.

La faille pourrait permettre à un individu mal intentionné ou à du code malveillant de contourner la fonctionnalité copy-on-write (COW) pour effectuer des changements dans la mémoire partagée par les processus, ce qui mène à des attaques de corruption de mémoire.

Copy-On-Write, ou simplement COW, est une stratégie d’optimisation de gestion de ressource utilisée en programmation informatique.

Si un processus (destination) requiert un fichier ou des données qui se trouve déjà dans la mémoire mais qui ont été créé par un autre processus (source), les deux processus peuvent partagés la même ressource plutôt que de créer une nouvelle copie. Cela réduit la consommation de ressource de copies non-modifiées.

Cependant, si le processus source doit modifier les données, la fonction copy-on-write (COW) entre en action et crée une copie des données dans la mémoire pour que le processus destination ait accès aux données.

Selon le chercheur de Project Zero, sur les systèmes d’exploitation macOS de Apple, le copy-on-write fonctionne avec la mémoire mais manipule aussi la table des pages et les mappages de mémoire.

“Cela veut dire que, après que le processus destination ait commencé à lire la zone de mémoire transféré, la pression de la mémoire peut pousser les pages contenant la mémoire transférée à être expulsé du cache de la page,” peut-on lire sur le post détaillant la vulnérabilité.

“Plus tard, quand on a encore besoin des pages expulsés, elles peuvent être retrouvé dans la sauvegarde du système de fichiers.”

Les chercheurs de Google ont découvert que quand une image filesystem montée est mutée directement (par exemple, en appelant pwrite() sur l’image filesystem), cette information n’est pas propagée dans le filesystem monté.

Un programme malveillant ou un individu mal intentionné peut donc faire des changement sur les pages expulsées stockées sur le disque sans en informer le sous-système de gestion virtuelle, forçant le processus destination à injecter du contenu malveillant dans la mémoire.

“Il est important que la mémoire copiée soit protégée contre les modifications tardives faites par le processus source; autrement, le processus source pourrait être capable d’exploiter les doubles lectures dans le processus destination ,” ont déclaré les chercheurs.

En plus de cette vulnérabilité, les chercheurs de Project Zero ont aussi trouvé un comportement semblable de contournement de copy-on-write (CVE-2019-6208) en abusant d’une autre fonction sur les systèmes d’exploitation macOS.

Project Zero a déjà signalé ces vulnérabilités

Apple a été alerté de ces 2 vulnérabilités en Novembre 2018 et ils ont pris connaissance de ces failles. Apple a patché la deuxième faille dans sa mise à jour de Janvier 2019, la première vulnérabilité est encore présente, même après l’échéance de 90 jours que Project Zero donne aux entreprises avant de rendre les vulnérabilités publiques.

Néanmoins, il semblerait que Apple soit en train de travailler avec l’équipe Project Zero pour réparer cette vulnérabilité et s’en débarrasser dans la prochaine mise à jour macOS.

Si vous avez aimé cet article, jetez un œil à la dernière faille trouvée sur MacOS.

Poster un Commentaire

avatar
  S’abonner  
Notifier de