De nouveaux détails émergent sur une « nouvelle grande classe de bogues » affectant les iPhones et les Mac
Lorsque vous avez mis à jour votre iPhone vers iOS 16.3 le mois dernier, vous avez obtenu quelques nouvelles fonctionnalités, notamment la prise en charge du nouveau HomePod et une douzaine de mises à jour de sécurité. Il s’avère qu’il y avait en fait 15 mises à jour de sécurité – Apple ne nous a tout simplement pas parlé de trois d’entre elles jusqu’à cette semaine.
On ne sait pas pourquoi Apple n’a pas divulgué les mises à jour, qui faisaient également partie de macOS 13.2, mais Apple dit qu’il « ne divulgue, ne discute ni ne confirme les problèmes de sécurité tant qu’une enquête n’a pas eu lieu et que des correctifs ou des versions ne sont pas disponibles ». Apple a également révélé cette semaine un correctif de sécurité non divulgué dans iOS 16.3.1 et macOS 13.2.1. Voici les détails des trois correctifs :
Reporter d’accident
- Disponible pour: iPhone 8 et versions ultérieures, iPad Pro (tous les modèles), iPad Air 3e génération et versions ultérieures, iPad 5e génération et versions ultérieures et iPad mini 5e génération et versions ultérieures ; macOS Ventura
- Impact: Un utilisateur peut être en mesure de lire des fichiers arbitraires en tant que root
- Description: Une condition de concurrence a été traitée avec une validation supplémentaire.
- CVE-2023-23520 : Cees Elzinga
Fondation
- Disponible pour: iPhone 8 et versions ultérieures, iPad Pro (tous les modèles), iPad Air 3e génération et versions ultérieures, iPad 5e génération et versions ultérieures et iPad mini 5e génération et versions ultérieures ; macOS Ventura
- Impact: Une application peut être en mesure d’exécuter du code arbitraire à partir de son bac à sable ou avec certains privilèges élevés
- Description: Le problème a été résolu par une meilleure gestion de la mémoire.
- CVE-2023-23530 : Austin Emmitt, chercheur principal en sécurité chez Trellix ARC
Fondation
- Disponible pour: iPhone 8 et versions ultérieures, iPad Pro (tous les modèles), iPad Air 3e génération et versions ultérieures, iPad 5e génération et versions ultérieures et iPad mini 5e génération et versions ultérieures ; macOS Ventura
- Impact: Une application peut être en mesure d’exécuter du code arbitraire à partir de son bac à sable ou avec certains privilèges élevés
- Description: Le problème a été résolu par une meilleure gestion de la mémoire.
- CVE-2023-23531 : Austin Emmitt, chercheur principal en sécurité chez Trellix ARC
Dans un article de blog, Trellix a décrit les découvertes de la faille Foundation, qui incluent « une nouvelle classe importante de bogues qui permettent de contourner la signature de code pour exécuter du code arbitraire dans le contexte de plusieurs applications de plate-forme, entraînant une élévation des privilèges et une évasion du bac à sable sur les deux macOS et iOS. Le bogue provient de la soi-disant faille FORCEDENTRY Sandbox Escape qui exploitait la classe NSPredicate d’Apple et a été corrigée en septembre. Selon Trellix, la découverte de la vulnérabilité d’origine « a ouvert une vaste gamme de vulnérabilités potentielles que nous explorons toujours ».
Comme l’expliquent les chercheurs, « un attaquant avec l’exécution de code dans un processus avec les droits appropriés, tels que Messages ou Safari, peut envoyer un NSPredicate malveillant et exécuter du code avec les privilèges de ce processus. Ce processus s’exécute en tant que root sur macOS et permet à l’attaquant d’accéder au calendrier, au carnet d’adresses et aux photos de l’utilisateur.
La société affirme que les vulnérabilités « représentent une violation importante du modèle de sécurité de macOS et iOS qui repose sur des applications individuelles ayant un accès précis au sous-ensemble de ressources dont elles ont besoin et interrogeant des services privilégiés plus élevés pour obtenir autre chose ».
Si vous n’avez pas mis à jour vers iOS 16.3, Apple ne le signe plus, ce qui signifie que vous devrez mettre à jour vers iOS 16.3.1, qui inclura les correctifs et les fonctionnalités d’iOS 16.3.
Mise à jour 2/21 : Ajout d’un arrière-plan à partir d’un article de blog de Trellix.
