Une faille de partage d'écran permet aux pirates de prendre le contrôle total des Mac : ce qu'il faut savoir

Une vulnérabilité récemment divulguée affectant macOS est activement exploitée dans la nature, selon des chercheurs en sécurité qui affirment que la faille permet à des attaquants distants d'obtenir un contrôle administratif complet d'un Mac affecté sans jamais saisir de mot de passe. La vulnérabilité réside dans la fonction de partage d'écran du système d'exploitation, un outil intégré qui permet à un Mac de voir et de contrôler à distance un autre, généralement utilisé pour l'assistance technique ou le travail à distance.

La faille découle d'une faiblesse d'authentification dans la manière dont le service de partage d'écran traite les demandes de connexion sous certaines configurations spécifiques. Les chercheurs qui ont identifié l'exploit la décrivent comme une erreur logique permettant à un attaquant de contourner entièrement l'invite de mot de passe standard sous certaines conditions, obtenant le même niveau d'accès qu'un utilisateur légitime aurait après une authentification réussie. Une fois à l'intérieur, un attaquant dispose effectivement du même contrôle sur la machine que quelqu'un assis devant elle, y compris la capacité d'installer des logiciels, d'accéder à des fichiers et potentiellement de se déplacer latéralement vers d'autres appareils du même réseau.

Ce qui rend cette catégorie de vulnérabilité particulièrement sérieuse, c'est le contournement d'authentification lui-même, plutôt qu'un quelconque besoin pour l'attaquant de deviner ou de voler un mot de passe. Les attaques d'accès à distance traditionnelles reposent généralement sur des identifiants volés, des mots de passe faibles, ou le fait de tromper un utilisateur pour qu'il approuve une connexion malveillante. Un pur contournement d'authentification supprime entièrement cette barrière, ce qui signifie que même les utilisateurs Mac disposant de mots de passe forts et uniques ne sont pas protégés contre ce vecteur d'attaque spécifique si leur système est par ailleurs exposé et vulnérable.

Les chercheurs en sécurité affirment que l'exploitation observée jusqu'à présent semble ciblée plutôt que relever d'un balayage massif opportuniste, tout en avertissant que le code d'exploitation de preuve de concept circulant dans les cercles de recherche en sécurité augmente le risque que des attaquants moins sophistiqués commencent à utiliser cette technique plus largement. Une fois que les détails techniques d'une vulnérabilité de ce type deviennent publics, l'écart entre l'exploitation ciblée initiale et les attaques opportunistes généralisées se réduit généralement rapidement.

L'exposition principale concerne les Mac dont le partage d'écran est activé et accessible depuis l'extérieur d'un réseau local de confiance — une configuration plus courante dans certains environnements professionnels et d'entreprise que dans un usage domestique typique, où les routeurs bloquent généralement par défaut les connexions entrantes non sollicitées. Les Mac dont le partage d'écran est désactivé, ou ceux accessibles uniquement depuis un réseau local privé, présentent un risque nettement plus faible, bien que les chercheurs notent que toute machine sur un réseau où un attaquant a déjà pris pied pourrait tout de même être vulnérable à un déplacement latéral.

Apple a été informé de la vulnérabilité et, au moment de la divulgation, on comprend que l'entreprise travaille à un correctif, bien qu'elle n'ait pas publié de calendrier détaillé pour un correctif. Dans l'intervalle, les chercheurs en sécurité recommandent aux utilisateurs de Mac et aux administrateurs informatiques de vérifier si le partage d'écran est activé sur tout système qui n'en a pas strictement besoin, et de désactiver la fonction sur les machines où elle n'est pas activement utilisée, en particulier sur les appareils exposés d'une manière ou d'une autre à l'internet public.

Pour les organisations qui s'appuient sur le partage d'écran à distance à des fins commerciales légitimes, comme les équipes de support informatique gérant des flottes distribuées d'appareils Mac, l'atténuation immédiate généralement recommandée consiste à restreindre l'accès via un réseau privé virtuel ou des règles de pare-feu limitant les adresses IP pouvant atteindre le service de partage d'écran, plutôt que de le laisser largement accessible. Cela n'élimine pas entièrement le risque, car les attaquants qui compromettent un appareil déjà à l'intérieur du réseau de confiance peuvent toujours exploiter la vulnérabilité, mais cela réduit considérablement le nombre d'attaquants potentiels pouvant atteindre le service exposé en premier lieu.

Cette vulnérabilité s'ajoute à un schéma plus large d'attention portée à la sécurité de macOS, qui s'est intensifiée à mesure que l'adoption de la plateforme en entreprise a augmenté. Pendant des années, macOS a bénéficié d'une réputation, pas entièrement méritée même à l'époque, d'être confronté à moins de menaces de sécurité sérieuses que Windows, reflétant largement sa part de marché historique plus modeste plutôt qu'un quelconque avantage de sécurité inhérent. À mesure que l'adoption des Mac s'est considérablement étendue dans les environnements d'entreprise, les attaquants ont corrélativement accru leur attention sur les vulnérabilités spécifiques à macOS, une tendance que les chercheurs en sécurité estiment susceptible de se poursuivre à mesure que la base installée de la plateforme s'agrandit.

En attendant qu'Apple publie un correctif officiel, les recommandations des chercheurs en sécurité restent simples : évaluer si le partage d'écran est réellement nécessaire sur une machine donnée, le désactiver là où ce n'est pas le cas, et restreindre l'accès au niveau réseau au service sur les machines où il doit rester actif. Il est également conseillé aux utilisateurs de surveiller les avis de sécurité officiels d'Apple concernant le correctif, et de l'appliquer rapidement dès qu'il sera disponible, compte tenu de la gravité de l'accès qu'un attaquant peut obtenir grâce à cette faille spécifique.