Apple ignore une faille pendant 7 mois

Des chercheurs ont présenté un proof of concept montrant une faille de sécurité dans Mac OS X 10.5 et 10.6. Ils ont alerté Apple en juin dernier, mais rien n’a été fait pour réparer le problème.

Un problème connu

C’est d’autant plus dommage que le patch est relativement simple et que certains éditeurs ont réussi à l’implémenter en quelques heures, voire quelques jours au maximum. La faille touche, en effet, tous les logiciels et systèmes d’exploitation implémentant les nombres en virgule flottante gdtoa.

Dans Mac OS X, le problème réside dans les libc/strtod(3) et libc/gdtoa. Seize autres applications sont concernées par cette faille (Firefox, Opera, Chrome, OpenBSD, FreeBSD, KDE et F-Lock, entres autres) et seulement trois sont encore vulnérables : Mozilla Sunbird, K-Meleon et le langage de programmation J.

Un cas d’école

Le proof of concept montre qu’un code PHP malveillant pourrait faire planter la machine et la manipulation des registres esi et edi (qui s’occupent des opérations mémoire) pourrait permettre l'exécution de codes à distance. Dans les faits, aucun site n’exploite encore cette faille.

Source : Security Reason