Apple a corrigé deux failles zero-day qui étaient activement exploitées contre les utilisateurs d’iPhones, de Mac et d’iPad.
Les failles auraient pu permettre aux acteurs de la menace de prendre le contrôle des appareils des victimes, leur donnant un accès complet aux terminaux, ont déclaré des experts.
« Apple est au courant d’un rapport selon lequel ce problème pourrait avoir été activement exploité », a déclaré le géant de Cupertino dans un avis. (s’ouvre dans un nouvel onglet) publié avec les correctifs.
Longue liste d’appareils concernés
Les deux failles sont suivies en tant que CVE-2023-28206 et CVE-2023-28205. La première est une vulnérabilité d’écriture hors limites d’IOSurface qui permettait aux pirates de corrompre les données, de bloquer les applications et les appareils, et d’exécuter du code à distance. Dans le pire des cas, un acteur malveillant pourrait pousser une application malveillante lui permettant d’exécuter du code arbitraire avec des privilèges de noyau sur le terminal cible.
Ce dernier est une utilisation de WebKit après une vulnérabilité gratuite avec des conséquences similaires – corruption de données et exécution de code arbitraire. Pour cette faille, le pire scénario consiste à inciter les victimes à visiter un site Web malveillant, ce qui entraîne l’exécution de code à distance.
Les failles ont été corrigées dans la version d’iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 et Safari 16.4.1, donc si vous vous inquiétez de ces vulnérabilités, assurez-vous de mettre vos systèmes à la dernière version dès que possible.
Apple a publié une liste d’appareils vulnérables, y compris l’iPhone 8 et plus récent, tous les iPad Pro, iPad Air 3d génération et plus récents, iPad 5e génération et plus récents, iPad mini 5e génération et plus récents, et tous les appareils macOS Ventura.
Apple a déclaré qu’il était au courant des acteurs de la menace abusant des zero-days dans la nature, mais n’a pas discuté des détails. Cependant, BleepingComputer spécule que les attaquants pourraient être parrainés par l’État, étant donné que les failles ont été découvertes par des chercheurs qui recherchent généralement des joueurs parrainés par le gouvernement.
Les chercheurs qui ont trouvé les failles sont Clément Lecigne du Threat Analysis Group de Google et Donncha Ó Cearbhaill du Security Lab d’Amnesty International. Les failles étaient utilisées dans le cadre d’une chaîne d’exploitation, a-t-on dit.
Via : BleepingComputer (s’ouvre dans un nouvel onglet)