=====================================================================
                                     CERT-Renater

                          Note d'Information No. 2006/VULN068
_____________________________________________________________________

DATE                      : 21/02/2006

HARDWARE PLATFORM(S)      : Apple

OPERATING SYSTEM(S)       : Macintosh OS X.


======================================================================

Une faille de securite potentiellement critique, car elle
pourrait etre utilisee pour permettre a un attaquant distant
de provoquer l'execution automatique de code arbitraire sur
un systeme Mac OS X et eventuellement le compromettre, a ete
decouverte.

Ce probleme aurait pour origine la facon dont Mac OS X
identifie et gere l'ouverture des types de fichiers connus.

Ce probleme pourrait etre exploite pour tromper un utilisateur
et l'amener a executer un script shell malicieux camoufle
dans un fichier ayant une extension connue et trompeuse
mais consideree comme sure (safe file).
Il peut par exemple faire croire que son fichier est une
image ou un film en le dotant d'un extension .jpg ou .mov
creant chez l'utilisateur un faux sentiment de securite de
facon a l'amener a accepter d'ouvrir un fichier malveillant.

L'attaquant pourrait ensuite inserer son fichier dans une
archive ZIP et le transmettre a des cibles potentielles
par le biais de la messagerie electronique ou d'un site
web malveillant.

Pour l'instant, deux vecteurs d'attaque ont ete explores,
le navigateur Safari et le client de messagerie Mail.

Dans le cas de l'utilisation de Safari pour la navigation
sur Internet un fichier malveillant cache dans une archive
ZIP specialement concue serait automatiquement execute lors
de la visite d'une page web le contenant.

Dans celui de l'utilisation de l'application Mail pour la
consultation des messages electroniques il est aussi possible
de faire executer automatiquement un fichier malveillant
comportant n'importe quelle extension de fichier (image,
film, fichier audio, etc...) sans l'inclure dans une archive ZIP.


La faille aurait ete testee avec succes sur un systeme
Mac OS X 10.4 a jour, avec le navigateur Safari 2.0.3 (417.8)
et avec client de messagerie Apple Mail 2.

Il n'existe pas de correctif pour ce probleme pour l'instant.

Il serait cependant possible de pallier ce probleme
en desactivant l'option "Open safe files after downloading"
dans la rubrique general des preferences de dans Safari.
Cette option serait activee par defaut a priori.
Il est aussi recommande dans l'attente d'un correctif
d'eviter d'ouvrir des fichiers provenant d'emetteurs
ou de sources non sures.


Reference:

Avis SECUNIA:
http://secunia.com/advisories/18963/

"Serious flaw on OS X"
http://isc.sans.org/diary.php?storyid=1138

"Apple Safari Browser Automatically Executes Shell Scripts"
http://www.heise.de/english/newsticker/news/69862

"Security hole in Mac OS X also affects Apple Mailw"
http://www.heise.de/english/newsticker/news/69919

" Critical browsing flaw found in Mac OS X"
http://www.securityfocus.com/brief/145

"Zero Day Exploit Hits Apple's OS X"
http://www.internetnews.com/security/article.php/3586416


======================================================================

            =========================================================
            Les serveurs de référence du CERT-Renater
            http://www.urec.fr/securite
            http://www.cru.fr/securite
            http://www.renater.fr
            =========================================================
            + CERT-RENATER          | tel : 01-53-94-20-44          +
            + 151 bd de l'Hopital   | fax : 01-53-94-20-41          +
            + 75013 Paris           | email: certsvp@renater.fr     +
            =========================================================