Apple corrige une faille zero-day dans Apple Vision Pro susceptible d’exploitation
Apple corrige une vulnérabilité dans son casque de réalité mixte
Après la publication des premiers avis des journalistes sur le Vision Pro d’Apple, le géant de la technologie a rapidement réagi en publiant son premier correctif de sécurité pour son casque de réalité mixte. Ce correctif vient résoudre une vulnérabilité qui “aurait pu être exploitée” par des pirates informatiques.
Le mercredi, Apple a publié la visionOS 1.0.2, le logiciel qui fait fonctionner le Vision Pro, avec une correction pour une vulnérabilité dans WebKit, le moteur de navigateur qui fait fonctionner Safari et d’autres applications web. Apple a indiqué que le bug, s’il était exploité, permettait à un code malveillant de s’exécuter sur un appareil affecté.
Les détails de la vulnérabilité
Il s’agit de la même vulnérabilité que celle qu’Apple a corrigée la semaine dernière lorsqu’il a déployé iOS 17.3, qui comprenait des correctifs pour les iPhone, iPad, Mac et Apple TV, tous basés sur WebKit. Aucun correctif pour ce bug, officiellement suivi sous le CVE-2024-23222, n’a été publié pour l’Apple Watch.
Il n’est pas immédiatement clair si des pirates informatiques ont utilisé la vulnérabilité pour exploiter spécifiquement le Vision Pro d’Apple, et le porte-parole d’Apple, Scott Radcliffe, n’a pas voulu le dire lorsqu’il a été interrogé par TechCrunch.
Il n’est pas encore connu qui exploitait la vulnérabilité, ni pour quelle raison. Il n’est pas rare que des acteurs malveillants, tels que des fabricants de logiciels espions, ciblent les failles de WebKit comme moyen de s’introduire dans le système d’exploitation sous-jacent de l’appareil et dans les données personnelles de l’utilisateur.
Les risques associés aux vulnérabilités de WebKit
Les bugs de WebKit peuvent parfois être exploités lorsqu’une victime visite un domaine malveillant dans son navigateur, ou le navigateur in-app. Apple a déployé plusieurs correctifs pour les bugs de WebKit l’année dernière.
Le Vision Pro devrait être disponible à partir de vendredi, et il est important pour les utilisateurs de s’assurer qu’ils ont installé la dernière mise à jour pour se protéger contre toute exploitation potentielle de cette vulnérabilité.
Source : techcrunch.com
