Nix sur macOS : une clé exposée peut compromettre les compilations
Le 6 novembre 2026, l’équipe de sécurité Nixpkgs a publié deux avis concernant son environnement de compilation Linux utilisé sur macOS. Une clé SSH privée est copiée dans le Nix store, accessible aux autres comptes locaux. Elle peut leur donner un accès de confiance à la machine virtuelle et permettre d’altérer les logiciels compilés que le Mac récupère.
Un second défaut expose le service SSH du constructeur QEMU sur les interfaces réseau, au lieu de le limiter à la machine locale. Une attaque distante suppose notamment d’obtenir la clé : il ne s’agit pas d’une exécution de code distante sans authentification. Sans clé divulguée, ce second défaut augmente surtout la surface exposée du service SSH.
Les avis GHSA-45qr-47fw-2p57 et GHSA-w5j5-2jpq-3cv3 n’ont pas de CVE attribuée. Le premier reçoit un score CVSS 3.1 de 7,9 ; le second est classé modéré, sans score numérique. Les systèmes NixOS ne sont pas concernés. La variante darwin.linux-builder-vz est touchée par la clé exposée, mais pas par l’ouverture réseau QEMU.
Des révisions correctrices sont identifiées pour les branches unstable et 26.05 dans les avis. Il faut actualiser Nixpkgs, renouveler la clé et recréer le disque du constructeur selon la procédure officielle : une mise à jour seule ne révoque pas une clé déjà copiée. Aucune exploitation réelle n’est documentée dans ces avis.
Sources :
