Correction de nombreux bugs sur les Apple TV, montres, Macs, iPad et iPhone
Apple corrige des dizaines de vulnérabilités sur ses appareils
Le 11 décembre, Apple a publié des correctifs pour des dizaines de vulnérabilités affectant les iPhones, les Mac, les Apple TVs, les Apple Watches et son navigateur Safari. La longue liste comprend 39 vulnérabilités corrigées pour macOS Sonoma version 14.2. Parmi elles, on trouve le CVE-2023-42914, un problème de noyau avec le potentiel de permettre aux applications de sortir de leur sandbox; le CVE-2023-42894, un problème AppleEvents qui ouvre la porte aux applications pour accéder aux contacts d’un utilisateur sans autorisation; et deux CVE spécifiques à Safari Webkit – un bug d’exécution de code arbitraire, CVE-2023-42890; et un bug de déni de service, CVE-2023-42883. Les mises à jour de lundi comprenaient également une douzaine de nouvelles corrections dans iOS et iPadOS 17.2, dont huit s’appliquent également à la version 16.7.3. Ils comprennent le CVE-2023-42922, qui aurait pu permettre aux applications de lire des informations de localisation sensibles via FindMy; le CVE-2023-42923, permettant un accès non authentifié aux onglets de navigation privée; et le CVE-2023-42897, découvert par un étudiant de l’Université du Texas, dans lequel un attaquant ayant accès physique à un appareil aurait pu utiliser Siri pour obtenir des données sensibles de l’utilisateur.
Vulnérabilités notables de l’Apple Watch et du Bluetooth
Deux vulnérabilités Webkit qui avaient déjà été corrigées sur les iPhones, les iPads et les Macbooks ont, au 11 décembre, été corrigées également pour les Apple Watches. Le CVE-2023-42916, attribué à un score CVSS de 6.5 “Moyen”, et le CVE-2023-42917 – 8.8 “Élevé” – tous deux “permettent aux attaquants d’accéder à des informations sensibles via des lectures hors limites et d’exécuter une exécution de code à distance (RCE) via une corruption de la mémoire grâce à des pages web malveillantes”, explique Mike Walters, président et co-fondateur d’Action1. Apple a noté que ces vulnérabilités auraient été exploitées dans des versions d’iOS antérieures à 16.7.1. “Compte tenu du travail antérieur du chercheur”, dit Walters de l’analyste de Google TAG responsable de leur découverte, “cela suggère qu’elles sont liées à des logiciels espions ou à une APT. Cependant, comme d’habitude, le vendeur ne divulguera pas cette information.”
Un autre élément qui a fait la une des journaux récemment est le CVE-2023-45866, une vulnérabilité de contournement de l’authentification affectant macOS et iOS, ainsi que Linux et Android. Signalé aux vendeurs au début du mois d’août, et rendu public la semaine dernière, ce CVE ne concerne que les appareils Apple lorsque le Bluetooth est activé et qu’ils sont associés à un Magic Keyboard. Dans de tels cas, cependant, un attaquant sur un ordinateur Linux avec un adaptateur Bluetooth standard peut injecter des frappes sur un appareil ciblé, effectuant toutes les actions que la victime pourrait effectuer, à défaut de barrières d’authentification.
RedHat a attribué au CVE-2023-45866 un score CVSS de 7.1, le qualifiant de gravité “Élevée”. Dans un GitHub ReadME, le chercheur responsable de la découverte a déploré les problèmes de sécurité persistants affectant les appareils Bluetooth. “Je ne suis vraiment pas sûr de quel type de clavier sans fil recommander à ce stade”, a-t-il écrit. “Si vous lisez ceci et que vous fabriquez un clavier sans fil sécurisé, veuillez m’en envoyer un afin que je puisse le pirater pour vous.”
Source : www.darkreading.com
