Partage d'écran sur Mac : votre mot de passe ne vous sera d'aucune utilité ici

Apple publie rarement une mise à jour qui corrige exactement une seule faille. Le 6 août, c'était le cas. Les versions macOS Tahoe 26.6.1, Sequoia 15.7.9 et Sonoma 14.8.9 ont été accompagnées d'une seule entrée dans le document de sécurité, classée sous la rubrique « Partage d'écran ».

La formulation d’Apple est laconique : un attaquant présent sur le réseau pourrait être en mesure de s’authentifier sur la fonctionnalité « Partage d’écran » sans disposer d’identifiants valides. Pas de mot de passe, pas de privilèges. Douze jours plus tard, la CISA a ajouté cette faille à son catalogue des vulnérabilités activement exploitées et a accordé trois jours aux agences fédérales américaines pour appliquer le correctif.

Pourquoi le mot de passe ne sert à rien

Le partage d’écran est la fonctionnalité qui vous permet de visualiser et de contrôler un Mac à distance. Lorsque vous l’activez, vous choisissez normalement qui peut se connecter et définissez un mot de passe. C’est précisément là que réside ce faux sentiment de sécurité. La faille intervient avant l’authentification.

Changer le mot de passe, supprimer des utilisateurs de la liste, désactiver la connexion VNC héritée : rien de tout cela ne change quoi que ce soit, et les sociétés de sécurité Huntress et MacStadium l’affirment en ces termes. Il n’y a que deux solutions possibles : la mise à jour, ou la désactivation de la fonctionnalité.

Du 7,1 au 9,8

Le jour de la mise à jour, la faille était classée comme présentant un niveau de gravité moyen. La première note était de 7,1 sur 10 et supposait qu’un attaquant disposait déjà de privilèges sur le système. Le 14 août, la CISA a corrigé cela. L’exigence de privilèges a été supprimée, les niveaux d’intégrité et de disponibilité ont bondi à « élevé », et la note est passée à 9,8. Quatre jours plus tard, la faille a été ajoutée au catalogue des vulnérabilités activement exploitées, avec une note indiquant que l’attaque pouvait être automatisée.

Ce qu’Apple ne mentionne pas mérite d’être souligné. Les trois documents de sécurité ne contiennent pas la mention habituelle concernant un rapport d’exploitation active. Ces rapports provenaient d’autres sources, d’abord du NCSC néerlandais, puis de Microsoft.

Le fait de disposer d’un routeur domestique ne vous met pas automatiquement à l’abri

La plupart des rapports indiquent que les machines à risque sont celles dont le port 5900 est ouvert vers Internet. Cela vaut pour les attaques observées jusqu’à présent. Cela ne vaut pas pour la faille elle-même. Apple évoque un attaquant présent sur le réseau, et MacStadium interprète cela comme désignant toute personne capable d’accéder au service.

Cela inclut donc une personne connectée au même réseau Wi-Fi, un appareil infecté sur votre réseau domestique ou un invité sur un réseau d’entreprise. Pour vous, cela signifie ceci : le routeur domestique vous protège des scanners sur Internet tant que vous n’avez pas configuré de redirection de port. Il ne vous protège pas de l’ordinateur portable qu’une personne pourrait apporter chez vous.

40 000 Mac exposés, dont la plupart sont des connexions privées

Le chercheur en sécurité Pedro Vilaça a effectué une analyse à la recherche de machines exposées début août. Environ 40 000 services de partage d’écran accessibles ont été recensés, dont près de la moitié aux États-Unis. Le plus intéressant réside dans sa note de bas de page : la plupart d’entre elles sont des connexions résidentielles.

Il ne s’agit pas principalement de serveurs. Ce sont des Mac appartenant à des particuliers qui ont configuré un accès à distance à un moment donné et n’y ont plus jamais repensé. Il n’existe pas de mesure officielle avec une date butoir ; Huntress évoque des dizaines de milliers de cas sans donner de chiffre précis. L’analyse de Vilaça constitue un point de données isolé, et non une série.

L’application d’un correctif ne nettoie pas une machine qui a déjà été infectée

Le 18 août, Microsoft a décrit ce que font les attaquants une fois qu’ils ont pénétré dans le système. Et cela survit à toute mise à jour, car cela n’a rien à voir avec la faille.

La chaîne après l’intrusion

Selon Microsoft, les pirates injectent des scripts et une clé SSH sur le Mac via le partage d’écran et s’octroient ainsi un accès permanent. Ils effacent ensuite l’historique et les journaux, modifient les paramètres du filtre de paquets et installent le mineur Monero XMRig, version 6.26.0.

Le code est signé de manière ad hoc, placé dans un chemin d'accès caché et fait passer pour « com.apple.airportd », de sorte qu’il ressemble à un processus système Apple. Il est lancé via un LaunchDaemon avec l’option KeepAlive, ce qui lui permet de survivre à chaque redémarrage.

Personne ne donne de chiffres. Microsoft fait état d’un nombre limité d’appareils affectés, tandis que le NCSC néerlandais mentionne plusieurs systèmes sur lesquels le port 5900 était accessible depuis Internet et où un accès root a été obtenu dans chaque cas. La question de savoir si cela a dépassé le cadre du minage de cryptomonnaies reste ouverte.

Que faire maintenant ?

Commencez par vérifier si le partage d’écran est bien activé. Pour y accéder, passez par le menu Apple, puis « Réglages », « Général » dans la barre latérale, puis « Partage ». Cette option se trouve tout en bas de la liste, vous devrez faire défiler la page. Si le bouton est désactivé, vous ne pourrez pas y accéder.

Deuxièmement, vérifiez l’option « Gestion à distance » sur la même page. Il s’agit de la deuxième voie d’accès à distance vers ce même Mac ; elle doit rester désactivée, sauf si vous l’utilisez délibérément. De toute façon, les deux options ne peuvent pas être actives en même temps.

Troisièmement, effectuez une mise à jour. Les seules versions qui corrigent cette faille sont les versions 26.6.1, 15.7.9 et 14.8.9. Il n’existe pas de correctif pour macOS Ventura et les versions antérieures ; la désactivation de cette fonctionnalité est donc la seule option possible dans ce cas.

De plus, si vous restaurez un Mac à partir d’une ancienne image de récupération, vous obtenez une version vulnérable et devez effectuer la mise à jour avant même qu’il ne se connecte au réseau.

Quatrièmement, si votre Mac est resté connecté au réseau avec le port ouvert, la mise à jour seule ne suffit pas. Il faut vérifier les clés SSH et les LaunchDaemons, et renouveler les identifiants. Si vous voulez être sûr, effacez tout et réinstallez le système.

Si vous avez vraiment besoin d’un accès à distance

Alors cela n’a pas sa place en plein air. Le conseil des chercheurs de l’université de Californie, qui ont analysé ce correctif, est succinct : il vaut mieux désactiver le partage d’écran, et s’il doit rester activé, le faire passer par un VPN ou une règle de pare-feu. Pour savoir combien de paramètres les utilisateurs activent une fois puis oublient, consultez ce que la fonction d’entraînement de ChatGPT ne couvre pas.