MacBidouille

On avait l'habitude que des pirates ou des chercheurs en sécurité lassés de ne pas être pris au sérieux révèlent une faille de sécurité avant d'avoir été comblée, maintenant même Google se laisse aller à ces pratiques.
Son laboratoire de sécurité a dévoilé deux failles d'OS X qu'Apple n'a pas comblé 90 jours après en avoir été informé.
La première est appelée "effective_audit_token" et se cache dans le process "networkd". Elle permet d'exécuter du code en dehors de la SandBox et donc de prendre le contrôle d'une machine sans coup férir.
La seconde est liée au fait que l'on puisse provoquer une erreur de pointage mémoire via l'extension "IntelAccelerator" et permet aussi l'exécution de code arbitraire une fois que l'on a fait planter le process.

On pourrait en vouloir à Google d'agir ainsi mais Apple n'a pas bougé en 90 jours. Or, rien ne dit que de telles failles ne sont pas connues par d'autres, pirates ou administrations du type NSA et utilisées de manière ciblée ou massive en toute impunité.

Il y a peu Tim Cook a déclaré que sa société était très préoccupée par la sécurité des données de ses clients. Elle va devoir maintenant le prouver en étant plus prompte à combler les failles de sécurité que l'on lui met sous le nez. 

[MàJ] Apple aurait comblé ces failles dans la dernière bêta de la 10.10.2. Il ne reste donc qu'à la rendre publique.

[MàJ 2] Il y a en fait un total de trois failles considérées comme exploitables pour prendre le contrôle du Mac, la troisième consernant les couches Bluetooth.