Trou de sécurité dans AFP

Selon cet article de MacNN, un trou de sécurité dans le protocole AFP, dans son implémentation de MacOS X 10.2, pourrait permettre l'interraction d'un Man-in-the-middle qui pourrait sniffer un mot de passe en texte clair sans que l'usager s'en rende compte.

Le problème est bien simple, MacOS X retourne envoie les informations en texte clair si le tunnel SSH n'est pas disponible. Malheureusement, aucun avertissement est envoyé à l'utilisateur pour lui dire que le tunnel SSH n'est pas disponible. En fait, l'utilisateur voit un Opening Secure Connection seulement lorsque le tunnel est disponible.

Le trou de sécurité serait donc exploitable dans des conditions très spécifiques. Il faudrait que le serveur utilisé n'accepte plus de connexions SSH, que quelqu'un ait laissé une machine sniffant les packets entrant entre le serveur et le réseau (Internet ou LAN), et que la connexion entre le client visé et le serveur visé ne soit pas à travers un VPN.

Dans le cas de MacOS X 10.3 et 10.3.1, un bogue dans le client AFP empêchait la connexion SSH de s'ouvrir. il serait donc important pour les personnes exploitant ces versions du système d'exploitation Mac de se mettre à jour.

Apple devrait répondre prochainement à ce trou de sécurité, probablement à travers la mise à jour à 10.3.3.