Apple vient de mettre en ligne un correctif de sécurité pour macOS High Sierra, censé éradiquer la faille mise en lumière il y a quelques heures et qui permet de déverrouiller un Mac sans mot de passe avec l'utilisateur Root.
La Security Update 2017-001 est disponible dès maintenant dans l'onglet Mises à jour du Mac App Store. Tous les utilisateurs de macOS High Sierra sont bien entendu invités à l'installer sans attendre sur leurs machines.
Notez que la mise à jour ne nécessite pas de redémarrer le Mac après installation.
SECURITY UPDATE 2017-001
Released November 29, 2017
Directory Utility
Available for: macOS High Sierra 10.13.1
Not impacted: macOS Sierra 10.12.6 and earlier
Impact: An attacker may be able to bypass administrator authentication without supplying the administrator’s password
Description: A logic error existed in the validation of credentials. This was addressed with improved credential validation.
Dans un communiqué (en anglais), Apple précise que la sécurité reste une priorité, et s'excuse rapidement d'avoir laissé passer une telle faille Nos clients méritent mieux conclut la firme, en précisant vouloir mener un audit pour éviter que ce genre de bug ne survienne à nouveau :
Security is a top priority for every Apple product, and regrettably we stumbled with this release of macOS.
When our security engineers became aware of the issue Tuesday afternoon, we immediately began working on an update that closes the security hole. This morning, as of 8 a.m., the update is available for download, and starting later today it will be automatically installed on all systems running the latest version (10.13.1) of macOS High Sierra.
We greatly regret this error and we apologize to all Mac users, both for releasing with this vulnerability and for the concern it has caused. Our customers deserve better. We are auditing our development processes to help prevent this from happening again.
