Mise à jour du 3 mars 2006 : Apple vient de mettre à disposition un pack sécurité intitulé 2006-001. Plus d'infos sur : http://docs.info.apple.com/article.html?artnum=303382
*****************************
Après l'annonce des virus OSX/Leap.A et OSX/Inqtana{.A,.B,.C}, 2 vulnérabilités viennent d’être découvertes dans l’environnement MAC OS X. L’une touche le navigateur Web Safari, l’autre l’outil de messagerie Apple Mail.
Il s'agit de vulnérabilités liées à la capacité d’exécuter certains scripts sans demande préalable. Censée n'ouvrir que des fichiers multimédias, des images disques et des archives, cette fonctionnalité pourrait être détournée pour lancer un script shell sans en avertir l'utilisateur.
Pour Web Safari, la vulnérabilité affecte les archives ZIP, pour Apple Mail, il s’agit du format MIME AppleDouble.
Ces failles sont jugées “extrêmement critiques”. Elles pourraient permettre à un hacker de lancer n'importe quelle application et peut-être même donner un contrôle distant à la machine.
Apple n'a pas publié de correctif à l'heure actuelle, mais cela ne saurait tarder.
En attendant, vérifiez bien que la fonction “ouvrir automatiquement les fichiers fiables” (Open "Safe" Files AFter Downloading) est désactivée dans votre navigateur Web.
Concernant la seconde vulnérabilité, sachez également que Thunderbird n’est pas affecté car il n’analyse pas AppleDouble.
Plus d’info :
http://www.heise.de/english/newsticker/news/69862
http://www.heise.de/english/newsticker/news/69919
http://www.kb.cert.org/vuls/id/999708
Commentaires