Téléchargez l'application
Tom's Hardware sur l'App Store
Toute l'actu informatique de référence sur votre iPhone
Oui Non

Apple ignore une faille pendant 7 mois

par - source: Security Reason

Des chercheurs ont présenté un proof of concept montrant une faille de sécurité dans Mac OS X 10.5 et 10.6. Ils ont alerté Apple en juin dernier, mais rien n’a été fait pour réparer le problème.

Un problème connu

C’est d’autant plus dommage que le patch est relativement simple et que certains éditeurs ont réussi à l’implémenter en quelques heures, voire quelques jours au maximum. La faille touche, en effet, tous les logiciels et systèmes d’exploitation implémentant les nombres en virgule flottante gdtoa. Dans Mac OS X, le problème réside dans les libc/strtod(3) et libc/gdtoa. Seize autres applications sont concernées par cette faille (Firefox, Opera, Chrome, OpenBSD, FreeBSD, KDE et F-Lock, entres autres) et seulement deux sont encore vulnérables : Mozilla Sunbird et le langage de programmation J.

Un cas d’école

Le proof of concept montre qu’un code PHP malveillant pourrait faire planter la machine et la manipulation des registres esi et edi (qui s’occupent des opérations mémoire) pourrait permettre l'exécution de codes à distance. Dans les faits, aucun site n’exploite encore cette faille.

Partager:
32
Commentaires
X
Valider

Commentaires
Ajouter un commentaire
vedge2000 13/01/2010 08:32
Masquer
-3+

C'est normal car tous les développeurs sont sur le iTabletteMachin!
;)

jafar 13/01/2010 09:13
Masquer
-3+

il peu y avoir des bug et des failles sous mac os ?
on m'a toujours menti alors.

petitpandaroux 13/01/2010 09:47
Masquer
-5+

@jafar : on n'est pas encore vendredi ...

magellan 13/01/2010 09:47
Masquer
-11+

[mode monde idéal ON]
Si ce genre d'info pouvait bâillonner tous les extrémistes pro ceci ou cela en leur montrant que tous les OS sont "fragiles"...
[mode monde idéal OFF]

anonymous 13/01/2010 10:13
Masquer
--3+

hey en tt cas je suis sur snow depuis 1 mois jvois pas ce quil a de plus que 7!
et ce nest pas un troll

Yannick G 13/01/2010 10:16
Masquer
-7+

It's not a faille, it's a feature :o

Vikk 13/01/2010 10:33
Masquer
-0+

Mac = fail?

pluies 13/01/2010 10:37
Masquer
-3+

libc étant open source, il est possible de développer un patch à partir des sources (eventuellement en suivant le patch développé par OpenBSD). Ca devrait être jouable pour tout kernel hacker qui se respecte. ;)

Je me souviens avoir du patcher un bug bizarre du ld dans 10.5 pour pouvoir faire tourner des applis Windows 16 bits dans Wine... Souvenirs, souvenirs. :D

Serious Gilles 13/01/2010 11:37
Masquer
-2+

Preuve qu'il n'y a pas de système sans failles...

pluies 13/01/2010 12:05
Masquer
-2+

Serious Gilles :
Preuve qu'il n'y a pas de système sans failles...


Absolument, surtout dans un OS, et a fortiori un OS grand public !

Ceci dit, on peut toujours essayer. :)

Sn4kY 13/01/2010 12:21
Masquer
-1+

Yannick G :
It's not a faille, it's a feature


ça me rappelle étrangement quelqu'un...

micaub 13/01/2010 12:25
Masquer
-1+

pre13 :
hey en tt cas je suis sur snow depuis 1 mois jvois pas ce quil a de plus que 7!


Bin c'est facile pourtant : il a une pomme derrière l'écran ! :D

sirius 13/01/2010 12:47
Masquer
-3+

micaub :
Bin c'est facile pourtant : il a une pomme derrière l'écran !


Derrière ou devant l'écran ;)

zeb 13/01/2010 13:32
Masquer
-0+

Sirius: +1 :lol:

frederpe 13/01/2010 14:45
Masquer
-0+

[Mode Chevalier de l'apocalypse ON]

Tremblés bandes d'insectes car avec vos langues fourchues vous allez réveillez le terrible LVM !

[Mode Chevalier de l'apocalypse OFF]

Je pense d'ailleurs que LVM est un BOT pour être aussi ...... LVM

pluies 13/01/2010 15:13
Masquer
-1+

Un bot aurait répondu plus rapidement. :o

ultrabill 13/01/2010 15:33
Masquer
-2+

Citation :

Un bot aurait répondu plus rapidement. :o


Son Mac viens de planter à cause d'une (autre) faille non corrigée :o

fitfat 13/01/2010 15:46
Masquer
-1+

sirius :
Derrière ou devant l'écran


Derrière. Devant, il y a une poire =)

zorro3364 13/01/2010 16:21
Masquer
-2+

en même temps, le buffer overflow est le type de faille le plus répandu (il apparait quasiment dès qu'il y a conversion de données), mais est-ce au développeur ou à l'éditeur de la combler?
depuis plusieurs années, visual studio génère un warning si il rencontre par exemple _ui64toa et préconise d'utiliser sa version "corrigée" (c'est à dire qui vérifie simplement la taille du buffer) _ui64toa_s. bon, si le developpeur choisi d'utiliser une fonction non sécurisée et sans lui même vérifier la taille de ses buffer, l'éditeur de l'os est-il vraiment a blâmer?

magellan 13/01/2010 16:38
Masquer
-0+

zorro3364 :
en même temps, le buffer overflow est le type de faille le plus répandu (il apparait quasiment dès qu'il y a conversion de données), mais est-ce au développeur ou à l'éditeur de la combler?depuis plusieurs années, visual studio génère un warning si il rencontre par exemple _ui64toa et préconise d'utiliser sa version "corrigée" (c'est à dire qui vérifie simplement la taille du buffer) _ui64toa_s. bon, si le developpeur choisi d'utiliser une fonction non sécurisée et sans lui même vérifier la taille de ses buffer, l'éditeur de l'os est-il vraiment a blâmer?


C'est un rien plus délicat je pense. Il y a deux points de vues possible:
- C'est le système qui doit être safe
- C'est aux développeurs de blinder leur part du boulot.
Or, dans les deux, ce sont des humains qui développent, et donc, "oublient" les failles potentielles. Allons plus loin: il arrivait (fut une époque maudite), qu'une correction de la JVM Sun engendrait des soucis avec les développements en version précédente... alors les failles perduraient, parce que le coût de repli vers la nouvelle version était trop élevée! Pénible, mais bien réel, ce problème fait perdurer aussi nombre d'anomalies de codage qui auraient dues êtres soldées.

Je te rejoins totalement sur la théorie: difficile de toujours blâmer l'éditeur, mais concrètement, le développeur s'adosse aussi à un environnement qu'il suppose "aussi fiable que possible" (le APAP - As Proof As Possible). De là, en pratique...

batchy 13/01/2010 19:33
Masquer
-2+

Citation :

C'est un rien plus délicat je pense. Il y a deux points de vues possible:
- C'est le système qui doit être safe
- C'est aux développeurs de blinder leur part du boulot.


Sauf que les développeurs aujourd'hui on leur demande de faire toujours plus et toujours plus vite, donc la sécurité, les performances et parfois même la gestion des erreurs, ça passe rapidement à la trappe...

magellan 13/01/2010 21:14
Masquer
-1+

Batchy :
Sauf que les développeurs aujourd'hui on leur demande de faire toujours plus et toujours plus vite, donc la sécurité, les performances et parfois même la gestion des erreurs, ça passe rapidement à la trappe...


Ne m'en parle pas... (c'est mon métier :/ )

Kenelm 13/01/2010 21:27
Masquer
--2+

micaub :
Bin c'est facile pourtant : il a une pomme derrière l'écran !

J'aurais plutôt dit une pomme dans le cul, mais bon, chacun sa vision des choses.

Geilgestorm 14/01/2010 05:24
Masquer
-1+

7 mois ou 7 ans qu'Apple nie, camoufle, cache les failles de son OS ? Plus OS-X évolue et avance, plus il s'éloigne de Linux et des avantages qu'offrait Linux. A ce rythme, dans quelques années, ne serait-ce pas une ironie que l'on décèle moins de faille sur un Windows qui lui se renforce (loin d'être parfait ou abouti) et d'un Mac OS-X qui défaille ? Sans parler de la vétusté du matériel dans les Mac.
Ah heureusement qu'Apple a pu et sur compter (voire aussi conter...) à ses membres fanatisés à acheter les yeux fermés tout ce qui porte le logo de la pomme, sur ses ipod et iphone, sinon Mac aurait mis la clé sous la porte.

ultrabill 14/01/2010 09:57
Masquer
-0+

Citation :

7 mois ou 7 ans qu'Apple nie, camoufle, cache les failles de son OS ? Plus OS-X évolue et avance, plus il s'éloigne de Linux et des avantages qu'offrait Linux.


MacOS X n'a aucun lien de parenté avec Linux, hein :heink:
Citation :

A ce rythme, dans quelques années, ne serait-ce pas une ironie que l'on décèle moins de faille sur un Windows qui lui se renforce (loin d'être parfait ou abouti) et d'un Mac OS-X qui défaille ? Sans parler de la vétusté du matériel dans les Mac.


Vu le nombre de PC tournant encore sous XP ou 2000, la vetusté du parc PC est peut-être pas mieux lotie que celle du parc Mac, qu'en penses-tu ?
Citation :

Ah heureusement qu'Apple a pu et sur compter (voire aussi conter...) à ses membres fanatisés à acheter les yeux fermés tout ce qui porte le logo de la pomme, sur ses ipod et iphone, sinon Mac aurait mis la clé sous la porte.


Ça c'est pas faux [:ddr555]

didier_bc 14/01/2010 11:02
Masquer
-0+

ultrabill :
MacOS X n'a aucun lien de parenté avec Linux, hein


Mac OS X est basé sur un BSD... Ok, ce n'est pas Linux. Mais BSD et Linux dérivent de Unix. Il y a des ressemblances ;-)

ultrabill 14/01/2010 11:08
Masquer
-3+

Citation :

Mac OS X est basé sur un BSD... Ok, ce n'est pas Linux. Mais BSD et Linux dérivent de Unix. Il y a des ressemblances ;-)


BSD est un descendant direct d'Unix, d'où viens Darwin. Linux c'est le Canada Dry des Unix :o

zeb 14/01/2010 16:12
Masquer
-1+

Je vais vous laisser dire du mal des pingouins, vous êtes méchants, picétou.

Mais je vous invite à revoir l'architecture de l'OS de la pomme. C'est assez dithyrambique. Le noyau de MacOS, c'est XNU. Pour vous mettre d'accord avec les dérives et les descendances, XNU signifie X is not UNIX, dans la grande tradition Unixienne. XNU n'est pas sortie de la cuisse de Jupiter. C'est un assemblage à première vue saugrenue entre le micro-noyau Mach et des morceaux du monolytique noyau4.3BSD pour fournir l'API POSIX au premier. On obtient donc un noyau hybride, qui dispose donc des qualités (et des défauts ?) des deux types de noyaux. On est donc loin de pouvoir dire que MacOS est un UNIX BSD, habillé d'une pomme. Son noyau est pour le moins original.

Darwin est plus qu'un noyau, c'est tout un SE, fruit encore d'un savant assemblage : XNU, NeXT, BSD, et ce qu'il faut de projets libres.

Les racines de MacOS X plongent donc bien dans la richesse du monde UNIX, mais c'est à force de plusieurs niveaux d'hybridations qu'on a finit par obtenir ce système. Comment dès lors prétendre qu'une seule de ces parentés l'emporteraient sur les autres ?

Spoiler :
Ne pas venir me raconter que le bonnet et la fourche de l'ornithorynque sont des preuves.

ultrabill 14/01/2010 16:39
Masquer
-2+

Citation :

(...)


Je constate que dans la necrospective retrospective de MacOS, il n'y a pas un pet de Linux dans le lot. C'est surtout ce qui compte d'abord une :o

shooby 14/01/2010 16:54
Masquer
-0+

jafar :
il peu y avoir des bug et des failles sous mac os ?on m'a toujours menti alors.


Apparement oui. Mais le pire est la volonté de Apple de cacher ça !

Publicité

Les offres du moment

Newsletters


OK