MacOS 11.4 corrige encore une faille 0-day, Réactions à la publication du 25/05/2021

[Lionel]

Jamf nous apprend que la mise à jour 11.4 de macOS corrige une faille de sécurité activement exploitée par des pirates.

Utilisant... AppleScript, le code permet entre autres choses de prendre des captures d'écran sans le consentement de l'utilisateur.

Pour agir, ce code se cache dans une application malveillante ayant eu dûment le droit de s'exécuter et s'octroie ensuite les droits d'une application déjà installée sur la machine pour agir via des commandes terminal exécutées par AppleScript.

On n'est pas dans le codage de haut vol mais dans des suites d'actes malins qui permettent de contourner les protections.

Apple a comblé cette faille, il est donc important de faire la mise à jour.

Lien vers le billet original

[Guest_Neutral_ch_*]

Hello, note dans la mise à jour:

- Le MacBook Pro 16 pouces pouvait ne plus répondre lors d’une partie de Civilization VI.

A croire que le jeu marche sous Mac OS ou disons, marche mieux maintenant que Fornite n'est plus mise à jour (ironique inside).


C'est marrant hier Illustrator à popé un message me demandant si je lui donnait l'autorisation pour créer un enregistrement de l'écran. J'ai refusé et regardé ce matin (vite fait) suite à l'article, si des raccourcis le prévoyait sous Illustrator 2021, rien vu. Mais bon je paie Adobe, le DL de l'application à lieu depuis Adobe CC, téléchargé sur le site officiel. Je ne pense pas que cela aie un rapport, j'ai très peu d'applications et toutes sont officielles et achetées. Ironique mais amusant.

Go maj!

Ce message a été modifié par Neutral_ch - 25 May 2021, 10:43.

[JayTouCon]

encore une ?

Août 2020 ??

[iAPX]

C'est drôle comme descriptif, ça fait parti des caractéristique du malware d'entreprise vendu par Jamf pour espionner les employés...
Ils ne doivent pas aimer la concurrence!

Plus sérieusement, cet exploit plus malin qu'il n'y parait au premier abord démontre la trop grande complexité des schémas de sécurité dans nos OS actuels avec des interactions non-contrôlées entre leurs différents éléments: c'est un grand foutoir!

[Benzebut]

Jamf nous apprend que la mise à jour 11.4 de macOS corrige une faille de sécurité activement exploitée par des pirates.

En fait, il y a aussi mise à jour iOS 11.4.6 qui corrige cette faille de sécurité. Tout comme cett mise à jour macOS 11.4 ...

Ce message a été modifié par Benzebut - 25 May 2021, 11:49.

[cafefroid]

Ces scripts, ces commandes bash que je ne maîtrise pas du tout…
Après avoir installé Gutenprint pour tenter de faire fonctionner mon imprimante laser Brother (peine perdue), j’ai voulu le désinstaller par un script qui était proposé.
macOS m’a inondé de mises en garde à ce moment-là, mais je l’ai quand même exécuté.
Et depuis j’ai toujours un doute d’avoir vérolé le Mac
Je me demande si je peux faire confiance en ce script proposé là : https://sourceforge.net/projects/gimp-print...20X%20ONLY/2.0/

[amike]

Il faut savoir ce qu'on veut : soit un OS généraliste, soit un OS de mobile avec des applications venant d'une source contrôlée avec essentiellement des possibilités de consultation ou d'assistance.
Un article de theregister sur les alternatives de Microsoft ou de Google

[daffyb]

il suffit de lire le script

Code

#!/bin/sh
################################################################################            
# A unified uninstaller for Gutenprint and Gimp-Print.                        #
# This uninstaller will uninstall versions from 4.2.1                          #
# Through present day naming as of September 1, 2015                           #
#                                                                              #
# Copyright 2001 - 2015 Michael Sweet, Matt Broughton, Tyler Blessing          #
#                                                                              #
#   This program is freed software; you can redistribute it and/or modify it   #
#   under the terms of the GNU General Public License as published by the Free #
#   Software Foundation; either version 2 of the License, or (at your option)  #
#   any later version.                                                         #
#                                                                              #
#   This program is distributed in the hope that it will be useful, but        #
#   WITHOUT ANY WARRANTY; without even the implied warranty of MERCHANTABILITY #
#   or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU General Public License   #
#   for more details.                                                          #
#                                                                              #
#   You should have received a copy of the GNU General Public License          #
#   along with this program; if not, write to the Free Software                #
#   Foundation, Inc., 59 Temple Place - Suite 330, Boston, MA 02111-1307, USA. #
#                                                                              #
################################################################################
#set -x
IFS='
'
printf "\nThis will uninstall any version of the Gutenprint/Gimp-Print \ndrivers along with any installed printers.\nIt can be used on any version of OS X from 10.2 onward.\n"
printf "\nThis script is distributed in the hope that it will be useful,\nbut WITHOUT ANY WARRANTY; without even the implied warranty\nof MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.\n\n"

#############################################################
##### 1.  Check to make sure there is an installation. ######
#############################################################

## There is no reason to check the OS X versin at this time.
## Keep the syntax in case it is needed at a later date.
#Xvers=`sw_vers -productVersion | awk -F. '{printf "%d\n", $1 * 100 + $2}'`

## If pkgutil is available (10.6 and later), check to see if pkgutil has
## any packages to deal with.
if [ -x /usr/sbin/pkgutil ]; then
    pkgutil_pkg=(`pkgutil --pkgs | grep -E '[Gg]utenprint|sourceforge\.[Gg]utenprint|[Gg]imp'`)
fi

## For all versions of OS X use check /Library/Receipts in case
## pkgutil is not present or if pkgutil does not recognize packages
## with non-conforming (numbers) in CFBundleIdentifier.
oldpackages=(`ls /Library/Receipts | grep -E '[Gg]utenprint|[Gg]imp[Pp]rint|[Gg]imp-[Pp]rint'`)        

## Now test that there is any installation. If not, exit 0.
if [ ! -z "${oldpackages[0]}" -o ! -z "${pkgutil_pkg[0]}" ]; then
    break;
else
    printf "\nNo Gutenprint/Gimp-Print installation receipt found.\nThere is nothing for this script to do.\n\nIf you still think there is an installation of Gutenprint on\nyour computer, please contact Gutenprint at\n\"http://gimp-print.sourceforge.net\"\n\n"
    exit 0
fi

###########################################################
##### 2.  Make sure the user is an administrator. #########
###########################################################
authority=1
/usr/bin/id -Gn `id -un` | grep -q admin
authority=$?
if [ $authority -ne 0 ]; then
    printf "\nYou do not have sufficient privileges to run this uninstaller.\nYou must run this script from an administrator's account.\n"
    exit 0
fi

## Onwards.
read -p "Do you want to continue? (Y,n)  " continued
if [[ "$continued" = [Yy] ]] || [[ "$continued" = [Yy][Ee][Ss] ]]; then
    printf "Please enter you administrator's password if prompted.\nNothing will appear on the screen as you enter your password.\n"
else
exit 0
fi

#################################################################
###  3. Now we can get down to work and do the uninstall. #######
#################################################################
# Remove Gutenprint/GimpPrint packages with receipts in /Library/Receipts...
## At least OS X 10.2 lists directories along with files no matter what.
## I also lists them with top directory first.  Be sure to do a sort -r.
for pkg in ${oldpackages[@]}; do
    echo
    echo Removing installation of $pkg....
    ## Remove files
    for gutenfile in ` lsbom -sf /Library/Receipts/$pkg/Contents/Archive.bom | sed  's/^\.//g' | sort -r ` ; do
        test -f "$gutenfile" && sudo /bin/rm -f "$gutenfile"
    done
    
    ## Remove any symlinks
    for gutenlink in ` lsbom -ls /Library/Receipts/$pkg/Contents/Archive.bom | sed  's/^\.//g' `; do
        test -L "$gutenlink" &&  sudo /bin/rm -f "$gutenlink"
    done

    ## Remove the receipt
    sudo /bin/rm -rf "/Library/Receipts/$pkg"
    echo Receipt removed from /Library/Receipts.
done

test -d /usr/share/gutenprint && sudo /bin/rm -rf /usr/share/gutenprint
test -d /Library/Printers/Gutenprint.printerDriver && sudo /bin/rm -rf /Library/Printers/Gutenprint.printerDriver


## Now look for anything left that can be found with pkgutil
## We check so there is no error message that pkgutil was not found.
## Rerun check for pkgutil packages. We may have taken care of them
## under oldpackages removal.
if [ -x /usr/sbin/pkgutil ]; then
    pkgutil_pkg=(`pkgutil --pkgs | grep -E '[Gg]utenprint|sourceforge\.[Gg]utenprint|[Gg]imp'`)
fi
if [ ! -z "${pkgutil_pkg[0]}" ]; then
    for newerpkg in ${pkgutil_pkg[@]}; do
        echo
        echo Removing installation of $newerpkg....
        for dbfile in `pkgutil --files $newerpkg --only-files`; do
            test -f /"$newerpkg" && sudo /bin/rm -f /"$newerpkg"
    done
    sudo pkgutil --forget "$newerpkg"

    # Remove symlinks...
    for file in /usr/libexec/cups/backend/gutenprint52+usb /usr/libexec/cups/driver/gutenprint.5.2  /usr/libexec/cups/filter/commandtocanon  /usr/libexec/cups/filter/commandtoepson /usr/libexec/cups/filter/rastertogutenprint.5.2 /usr/local/bin/escputil; do
        test -L $file && sudo /bin/rm -f $file
    done
    done        
fi
################################################
### 4. CLEAN THINGS UP BEFORE WE LEAVE ########
################################################
## Clean up any remaining PPDs in /Library/Printers
MODEL_PPD_DIR="/Library/Printers/PPDs/Contents/Resources"
##############################################################
## Remove any PPDs that might be lying around from a previous
## install of some sort.
LAST_PPD=($(find ${MODEL_PPD_DIR} -name 'stp-*\.5\.[0-2]\.ppd\.gz' | sort))
    if [ ${#LAST_PPD[@]} -gt 0 ]; then
        echo Removing the PPDs...
        for ((jj=0;$jj < ${#LAST_PPD[@]}; jj++)); do
            #echo ${LAST_PPD[$jj]}
            /bin/rm ${LAST_PPD[$jj]}
        done
    fi
    
    ## Now remove any queues.  The basic awk routine is left over from
## Tyler Blessing.
# set the CUPS ppd directory variable
CUPS_PPD_DIR="/etc/cups/ppd/"

## awk cannot handle an escaped \+ (plus sign) so use . (any character)
## in the regexp if you are going to use the + sign in the key.
QUEUE_KEY_1=.*[Gg][Uu][Tt][Ee][Nn][Pp][Rr][Ii][Nn][Tt].*5\.[012]
QUEUE_KEY_2=.*[Gg][Ii][Mm][Pp]-[Pp][Rr][Ii][Nn][Tt].*[45]\.[012]
# scan for existing Gutenprint queues...
#
# we want only the queue name so strip the leading directories and the .ppd suffix...
QUEUE=( `awk "/${QUEUE_KEY_1}/||/${QUEUE_KEY_2}/ {print FILENAME;nextfile;}" ${CUPS_PPD_DIR}* | awk '{n=split($0,a,"/"); split(a[n],b,".ppd");print b[1];}'` )
echo
echo removing the following queues... ${QUEUE[@]}
for NAME in ${QUEUE[@]}
do
# actually remove the queue
     if [  "`lpadmin -x $NAME 2>&1`" ]; then
         echo ..........
         echo The printer queue $NAME failed to be removed.
         echo  Please delete the printer queue manually.
      else
         echo The printer queue $NAME was removed.
      fi
done

exit 0

[iAPX]

Reste plus qu'à trouver un moyen d'injecter "*" dans newerpkg via pkgutil et on est bon

[captaindid]

Ces scripts, ces commandes bash que je ne maîtrise pas du tout…
Après avoir installé Gutenprint pour tenter de faire fonctionner mon imprimante laser Brother (peine perdue), j’ai voulu le désinstaller par un script qui était proposé.
macOS m’a inondé de mises en garde à ce moment-là, mais je l’ai quand même exécuté.
Et depuis j’ai toujours un doute d’avoir vérolé le Mac
Je me demande si je peux faire confiance en ce script proposé là : https://sourceforge.net/projects/gimp-print...20X%20ONLY/2.0/

bonjour
j'ai regardé le script : rien d'anormal, il ne fait qu"effacer des répertoires donnés et rétablir la file d'impression originelle
si OSX a émis des warning, c'est qu'il a averti de l’exécution d'un script de provenance inconnue, donc douteuse, car non signé.

[ziggyspider]

Et si on est pas sous OSX 11 … c'est open bar ???

[skarel]

Et si on est pas sous OSX 11 … c'est open bar ???

Sous macOS Mojave (10.14.6), je viens d'avoir une mise à jour de sécurité 2021-004 (ça cause bien d'AppleScript notamment), ainsi qu'une mise à jour de Safari (maintenant en version 14.1.1, build no 14611.2.7.1.6).

Ce message a été modifié par skarel - 25 May 2021, 16:15.

[aranaud]

Et si on est pas sous OSX 11 … c'est open bar ???

J'ai eu droit à une mise à jours de sécurité avec OS X 10.15.7 mais en effet, quand l'OS est trop vieux. Plus de mise à jours disponible.

[cafefroid]

Ces scripts, ces commandes bash que je ne maîtrise pas du tout…
Après avoir installé Gutenprint pour tenter de faire fonctionner mon imprimante laser Brother (peine perdue), j’ai voulu le désinstaller par un script qui était proposé.
macOS m’a inondé de mises en garde à ce moment-là, mais je l’ai quand même exécuté.
Et depuis j’ai toujours un doute d’avoir vérolé le Mac
Je me demande si je peux faire confiance en ce script proposé là : https://sourceforge.net/projects/gimp-print...20X%20ONLY/2.0/

bonjour
j'ai regardé le script : rien d'anormal, il ne fait qu"effacer des répertoires donnés et rétablir la file d'impression originelle
si OSX a émis des warning, c'est qu'il a averti de l’exécution d'un script de provenance inconnue, donc douteuse, car non signé.

Merci beaucoup captaindid !
Et daffyb de l’avoir mis clairement en ligne.

Ce message a été modifié par cafefroid - 25 May 2021, 16:42.

[kabuka]

11.4 apporte enfin le support officiel des navi2 d´AMD pour tous ceux qui n´ont pas installé la beta.

[bob II]

Bonjour,
J'ai un message pénible depuis la MAJ en 11.4
"Le chargement du logiciel système du développeur << chengdu Aibo Tech Co., Ltd.>> a été bloqué."
Je ne sais pas trop quoi faire.
Une idée ?
a priori de ce développeur j'avais installé un logiciel pour les clefs USB et HDD en NTFS .
Mais il me semble que je l'ai viré finalement. Du coup je ne comprends pas le message ?
j'ai de gros soucis depuis la MAJ.

Ce message a été modifié par bob II - 25 May 2021, 23:43.

[Guest_Neutral_ch_*]

(Désormais on peut décocher: émettre un son au démarrage, sans que cela se re-coche par la suite)

[Cronos]

Comme d'hab, mon macmini M1 ne redémarre pas après la mise à jour de Big Sur 11.4; mais tout fonctionne après arrêt et redémarrage manuel.
J'ai une autre MàJ (MàJ de Catalina V 10.15.7) sur mon iMac (2013) et en particulier une MàJ de Safari.
Je me demande si Safari n'est pas une passoire au point de vue sécurité?

Ce message a été modifié par Cronos - 26 May 2021, 05:21.

[hellomorld]

Bonjour,
J'ai un message pénible depuis la MAJ en 11.4
"Le chargement du logiciel système du développeur << chengdu Aibo Tech Co., Ltd.>> a été bloqué."
Je ne sais pas trop quoi faire.
Une idée ?
a priori de ce développeur j'avais installé un logiciel pour les clefs USB et HDD en NTFS .
Mais il me semble que je l'ai viré finalement. Du coup je ne comprends pas le message ?
j'ai de gros soucis depuis la MAJ.

Regarde dans les prefs Sécurité s'il ne reste pas des morceaux de ton logiciel qui se charge au démarrage.

[chartz]

Mode râleur ON.

Et ça continue les mises à jour énormes pour probablement quelques dizaines de Mo réels.

[VSD]

Mode râleur ON.

Et ça continue les mises à jour énormes pour probablement quelques dizaines de Mo réels.

+1

[skarel]

Mode râleur ON.

Et ça continue les mises à jour énormes pour probablement quelques dizaines de Mo réels.

+1

Ce qui est remarquable c’est qu’à l’époque où Apple proposait des mises à jour delta les bidouilleurs ne juraient que par les mises à jour combo qui arrivaient quelques heures/jours après ; et que maintenant qu’Apple ne propose plus que des mises à jour combo les bidouilleurs râlent parce qu’ils préfèreraient maintenant plutôt des delta.

[chartz]

Mode râleur ON.

Et ça continue les mises à jour énormes pour probablement quelques dizaines de Mo réels.

+1

Ce qui est remarquable c’est qu’à l’époque où Apple proposait des mises à jour delta les bidouilleurs ne juraient que par les mises à jour combo qui arrivaient quelques heures/jours après ; et que maintenant qu’Apple ne propose plus que des mises à jour combo les bidouilleurs râlent parce qu’ils préfèreraient maintenant plutôt des delta.

Pas faux. Mais tout le monde n’a pas l’ADSL à 20 mégas !

[cafefroid]

Mode râleur ON.

Et ça continue les mises à jour énormes pour probablement quelques dizaines de Mo réels.

Oui, ça a été une soirée mises à jour très lourde et longue.
Mais il semblerait, semblerait seulement selon les forums US, que cette version de Big Sur règle le problème d’écriture massive de données sur les SSD (ce qui les fatigue).

[Pat94]

Salut,

Apple aurait oublié de corriger les failles alors que théoriquement cette version OS 11 a été réécrite pour la nouvelle génération de Mac, où ils le font exprès où ils sont nuls, où la réécriture s'est limité à une compilation de certaines routines ...

[skarel]

Salut,

Apple aurait oublié de corriger les failles alors que théoriquement cette version OS 11 a été réécrite pour la nouvelle génération de Mac, où ils le font exprès où ils sont nuls, où la réécriture s'est limité à une compilation de certaines routines ...

macOS 11 n'est pas une réécriture de macOS 10. Tous les outils de développement (conception/compilation/exécution) pour macOS et iOS ont été développés ces dernières années pour rendre ces systèmes et leurs applications adaptables à de nouvelles architectures sans nécessiter un travail de réécriture complète des logiciels.

C'est un travail de fond sur les environnements de conception/compilation/exécution des applications offerts par les fondations de macOS et iOS, justement pour éviter d'avoir à réécrire chaque application à chaque fois.

macOS 11 possède donc un héritage de 20 ans de Mac OS X / OS X / macOS 10, qui lui même possédait un héritage de 10 ans de NeXTSTEP, qui lui même possédait un héritage de 15 ans d'UNIX (Mach/BSD).

Il serait illusoire de croire qu'Apple a réécrit près de 50 ans de codes éprouvés pour faire macOS 11.

Ce message a été modifié par skarel - 26 May 2021, 11:13.

[Pat94]

Il serait illusoire de croire qu'Apple a réécrit près de 50 ans de codes éprouvés pour faire macOS 11.

Oui vous avez raison, mais quand on refait les peintures avant on lessive les murs, surtout que dans cette nouvelle version de Mac on est dans du "jetable" aucun composant actif de stockage remplaçable, donc si infection avec un malware costaud au revoir, avant on virait le SSD ou disque système, on le remplaçait, ou un formatage de bas niveau, rechargement de la sauvegarde de la veille et roule, maintenant on pleurera.

Je parle bien sur pour les gens qui ont une vrai utilisation professionnel de leur biniou...

Ce message a été modifié par Pat94 - 26 May 2021, 10:53.

[skarel]

Il serait illusoire de croire qu'Apple a réécrit près de 50 ans de codes éprouvés pour faire macOS 11.

Oui vous avez raison, mais quand on refait les peintures avant on lessive les murs, surtout que dans cette nouvelle version de Mac on est dans du "jetable" aucun composant actif de stockage remplaçable, donc si infection avec un malware costaud au revoir, avant on virait le SSD ou disque système, on le remplaçait, ou un formatage de bas niveau, rechargement de la sauvegarde de la veille et roule, maintenant on pleurera.

Je parle bien sur pour les gens qui ont une vrai utilisation professionnel de leur biniou...

En 30 ans d'utilisation perso et pro de Macs je n'ai jamais vu un seul virus qui pouvait s'installer dans le firmware d'un disque dur ou d'un SSD et en nécessiter le remplacement.

D'autant que la conception moderne des Macs vise justement à intercaler une couche de sécurité hardware (puces T1/T2, et aujourd'hui intégrée aux SoC M1) visant à empêcher ce genre d'intrusion.

Après, des failles matérielles et logicielles existeront toujours. Et l'on ne peut pas reprocher à une mise à jour de sécurité d'exister. AMHA.

[iAPX]

...
donc si infection avec un malware costaud au revoir, avant on virait le SSD ou disque système, on le remplaçait, ou un formatage de bas niveau, rechargement de la sauvegarde de la veille et roule, maintenant on pleurera.
...

On est en 2021, pas en 1981, et les Mac Apple Silicon ne sont pas des compatibles PC avec un assemblage plus ou moins heureux de composants venant de sources disparates, où tu pouvais appliquer les méthodes du docteur Norton.
Étrangement CTRL-ALT-DELETE ne fonctionne pas, on ne peut pas plus changer sa carte contrôleur MFM ou RLL, et le lecteur de disquette 5"1/4 semble absent tout comme l'interface cassette!

Ce sont des machines totalement intégrées, similaires aux iPhone ou iPad en ce sens, et préfigurant très probablement de futures générations d'ordinateurs x86 (quoique les XBox et PS s'en rapprochent).

Les procédures sont donc différentes, mais effectives, et justement l'OS installé semble extrêmement bien sécurisé contre les modifications ainsi que le firmware, les attaques récentes ne pouvant les modifier, et une simple réinstallation remettant tout à plat, avec au pire du pire un redémarrage en mode DFU.

[bob II]

Bonjour,
J'ai un message pénible depuis la MAJ en 11.4
"Le chargement du logiciel système du développeur << chengdu Aibo Tech Co., Ltd.>> a été bloqué."
Je ne sais pas trop quoi faire.
Une idée ?
a priori de ce développeur j'avais installé un logiciel pour les clefs USB et HDD en NTFS .
Mais il me semble que je l'ai viré finalement. Du coup je ne comprends pas le message ?
j'ai de gros soucis depuis la MAJ.

Regarde dans les prefs Sécurité s'il ne reste pas des morceaux de ton logiciel qui se charge au démarrage.

Oui merci j'ai fini par valider l'extension.
Mais malheureusement ce n'était pas mon seul problème depuis la MAJ.
Et comme je suis un âne, j'avais bêtement mis à jour mon SSD externe via CCC dans la foulée.
SSD externe qui actuellement plante mon ordinateur à chaque fois que j'essaye de démarrer dessus.
Pour ajouter une louche de bonheur ma connexion internet est depuis hier très mauvaise et instable
Bon çà la MAJ n'y est pour rien, mais ça n'a pas aidé pour télécharger Big Sur, pour réparer tout le bordel.
J'ai craqué j'ai fini par activer mon téléphone en borne 4G, et là j'ai enfin pu téléchargé Big Mur sans que çà plante.
La bonne nouvelle c'est qu'il semble que je sois presque parvenu a tout remettre en fonction
Mais bon, je m'en rappellerai de la MAJ 11.4 !!

Ce message a été modifié par bob II - 26 May 2021, 14:12.