L'application Zoom sur Mac corrige une importante faille avec la version 5.11.5

Zoom a publié une nouvelle version 5.11.5 de son application macOS avec un correctif important qui comble une vulnérabilité de sécurité affectant la fonction de mise à jour automatique de l'application. Si vous utilisez ce service de visio-conférence, vous devez immédiatement mettre à jour le logiciel.

ZOOM corrige une vulnérabilité sur MacOS

Dans un bulletin de sécurité du 13 août, l'entreprise américaine a déclaré que les versions 5.7.3 à 5.11.3 de son app macOS contiennent une vulnérabilité dans le processus de mise à jour automatique qui peut être exploitée par une personne malveillante pour obtenir les privilèges root du système d'exploitation. La vulnérabilité a été corrigée dans la version 5.11.5 de l'application Zoom pour macOS, disponible dès maintenant.

La vulnérabilité a été révélée par le chercheur en sécurité Patrick Wardle lors de la conférence de piratage DEF CON à Las Vegas vendredi. Et, à priori, tout n'est pas totalement réglé.

Comment fonctionne la vulnérabilité Zoom ?

L'exploit fonctionne en ciblant le programme d'installation de l'application Zoom, qui doit être exécuté avec des autorisations d'utilisateur spéciales afin d'installer ou de supprimer l'application Zoom principale d'un ordinateur. Bien que le programme d'installation demande à l'utilisateur de saisir son mot de passe lors du premier ajout de l'application au système, Wardle a découvert qu'une fonction de mise à jour automatique s'exécutait continuellement en arrière-plan avec les privilèges de super-utilisateur.

Lorsque Zoom publiait une mise à jour, le logiciel installait le nouveau paquet après avoir vérifié qu'il avait été signé cryptographiquement par Zoom. Mais un bogue dans l'implémentation de la méthode de vérification signifiait qu'il suffisait de donner à la fonction de mise à jour n'importe quel fichier portant le même nom que le certificat de signature de Zoom pour réussir le test.

Le résultat est une attaque par élévation de privilèges, qui suppose qu'un hacker a déjà obtenu un accès initial au système cible et utilise ensuite un exploit pour obtenir un niveau d'accès plus élevé. Dans ce cas, l'attaquant commence avec un compte d'utilisateur restreint, mais passe au type d'utilisateur le plus puissant, appelé "superutilisateur" ou "root", ce qui lui permet d'ajouter, de supprimer ou de modifier tous les fichiers de la machine sous macOS.

Un bug pas tout à fait corrigé

Dans la nouvelle version de l'installateur de mise à jour, un paquet à installer est d'abord déplacé dans un répertoire appartenant à l'utilisateur "root". En général, cela signifie qu'aucun utilisateur n'ayant pas l'autorisation de root ne peut ajouter, supprimer ou modifier des fichiers dans ce répertoire. Mais en raison d'une subtilité des systèmes Unix (dont macOS fait partie), lorsqu'un fichier existant est déplacé d'un autre emplacement vers le répertoire racine, il conserve les mêmes autorisations de lecture-écriture qu'auparavant. Ainsi, dans ce cas, il peut toujours être modifié par un utilisateur normal. Et comme il peut être modifié, un utilisateur malveillant peut toujours échanger le contenu de ce fichier avec un fichier de son choix et l'utiliser pour devenir root. Une prochaine mise à jour devrait arriver rapidement...

En tout cas, vous pouvez télécharger Zoom pour Mac sur le site officiel.