La dernière mise à jour d'Apple corrige trois failles de sécurité, dont celle qui permet d'obtenir des droits administrateur à cause d'un bug dans le programme sudo.

Apple vient de publier une mise à jour pour macOS Big Sur 11.2.1, macOS Catalina 10.15.7 et macOS Mojave 10.14.6. Cette mise à jour corrige la faille de sécurité qui a été découverte dans le programme sudo, qui passe en version 1.9.5p2 :


Impact: A local attacker may be able to elevate their privileges
Description: This issue was addressed by updating to sudo version 1.9.5p2.
CVE-2021-3156: Qualys

La faille a été découverte initialement dans Linux, mais touche également d'autres OS de type Unix, dont macOS, moyennant une légèrement modification.


CVE-2021-3156 also impacts @apple MacOS Big Sur (unpatched at present), you can enable exploitation of the issue by symlinking sudo to sudoedit and then triggering the heap overflow to escalate one's privileges to 1337 uid=0. Fun for @p0sixninja pic.twitter.com/tyXFB3odxE
— Hacker Fantastic �� (@hackerfantastic) February 2, 2021

En tapant certaines commandes, il était possible de provoquer un dépassement de mémoire dans le programme sudo. Ce bug permet d'obtenir des privilèges plus élevés et, par exemple, de devenir administrateur du système.

Apple indique dans son bulletin que la mise à jour corrige également deux failles de sécurité dans le pilote de la puce graphique Intel.

Ces failles pourraient permettre à un pirate d'exécuter du code sur la machine avec les mêmes droits que ceux du noyau de l'OS.