Une faille de sécurité découverte dans Mojave, Réactions à la publication du 25/09/2018

[tchoum]

encore plus simple, il suffit de copier le dossier AddressBook de Application Support directement depuis le Finder (qui semble échapper au contrôle)

un petit Applescript fait l'affaire du coup

Code

set source to do shell script "echo `cd ~/Library/'Application Support'/AddressBook/; pwd`" as text
set source to source as POSIX file
tell application "Finder" to duplicate source to the desktop

Ce message a été modifié par tchoum - 29 Sep 2018, 08:52.

[_Panta]

Effectivement, le finder semble avoir des droits étendus, un simple Pomme+c/Pomme+v suffit !!
Il y a bien un loup dans le bouzin - Quand même, mais qu'est ce qu''ils branlent ... ?

Ce message a été modifié par _Panta - 28 Sep 2018, 15:21.

[Hebus]

Y a un truc qui me trouble là... bon, je suis une bille en sécurité, j’ai toujours trouvé ça ennuyeux au possible...

Mais c’est ma machine et mon carnet d’adresse, j’en fait ce que je veux... normal non ?

Par contre une application installée sur la machine à partir du store, dans le bac à sable, qui veut accéder à mes données ... elle doit demander l’autorisation.


Vos .app en forme de script ... c’est quoi ce truc ? C’est une application double cliquable ? Installlée par le Store ?

Y a un truc que je ne pige pas dans vos experimentations ???

Ce message a été modifié par Hebus - 28 Sep 2018, 16:18.

[_Panta]

Salut,

Il y a une nouvelle fonction de sécurité avec Mojave qui permet de segmenter les accès à certains dossiers dit confidentiel. C'est une tres bonne chose en soit, mais le "probleme" avec cette faille, c'est qu'une application dont tu validerais l'installation, peut aussi accéder à des éléments qui ne le devraient pas. L'AddressBook est juste un exemple, mais sur le même principe cela pourrait être tes paramètres mails, messages, tout ce qu'il y a dans Library qui serait accessible par un vilain : on peut imaginer une app toute couillone, quand tu l'installes on te demande de l'autoriser à faire une certaine tâche. Mais si malicieusement le dev' a demandé à son appli d'aller piocher dans ton carnets d'adresses afin de pouvoir récupérer des adresses ou des infos, cette appli ne devrait pas pouvoir le faire, ou au minimun sans t'en informer et te demander l'autorisation.

[tchoum]

il suffirait théoriquement d'inclure un petit applescript dans un programme pour qu'il puisse accéder à des trucs sans autorisation...

Ce message a été modifié par tchoum - 4 Oct 2018, 20:00.