Apple a corrigé deux jours zéro qui auraient été abusés dans la nature affectant ses appareils iPhone, iPad et Mac.
Dans un avis de sécurité publié par la société, Apple a déclaré que le correctif corrigeait CVE-2022-22674 et CVE-2022-22675. Le premier est une vulnérabilité d’écriture hors limites dans le pilote graphique Intel qui permet aux applications de lire la mémoire du noyau, tandis que le second est un problème de lecture hors limites dans le décodeur multimédia AppleAVD permettant aux applications d’exécuter du code arbitraire avec les privilèges du noyau. .
Apple affirme que les failles pourraient avoir été exploitées dans la nature, très probablement pour le vol d’identité et d’autres activités frauduleuses, les utilisateurs sont donc invités à mettre à jour leurs systèmes d’exploitation vers la version la plus récente dès que possible : iOS 15.4.1, iPadOS 15.4.1, et macOS Monterey 12.3.1.
À la recherche de jours zéro
Tous les modèles d’iPhone à partir de l’iPhone 6 sont concernés, ainsi que tous les modèles d’iPad Pro, tous les iPad Air, à partir de 2, ainsi que tous les iPad, à partir de la 5ème génération. L’iPad mini 4 et les versions ultérieures et l’iPod touch de 7e génération et les versions ultérieures sont tous concernés.
Les acteurs de la menace sont toujours à l’affût des vulnérabilités logicielles, Apple ayant également récemment poussé une mise à jour du système d’exploitation pour l’Apple Watch, l’iPhone et l’iPad afin de corriger un exploit activement abusé dans la nature.
L’exploit a été découvert par l’équipe Project Zero de Google et a un impact sur WebKit, le moteur de navigation qu’Apple a utilisé pour créer Safari.
En septembre 2021, la société a également dû publier une mise à jour urgente pour corriger une exécution de code arbitraire zero-day dans les appareils iOS et macOS, suivie sous le nom de CVE-2021-30869, qui était également abusée dans la nature.
Bien qu’Apple n’ait pas partagé beaucoup de détails sur la vulnérabilité citant la protection du client, il a mentionné que le bogue existe dans Apple Open source Noyau du système d’exploitation XNU.
Apple aurait dû faire face à plusieurs jours de congé zéro en retard, dont beaucoup ont été utilisés dans des attaques contre des appareils iOS et macOS, les plus notoires étant ceux exploités pour installer le logiciel espion Pegasus sur les iPhones.
Via : BleepingComputer