Apple vient de publier une mise à jour d'urgence pour deux bogues du jour zéro qui sont apparemment activement exploité.
Il y a un trou d'exécution de code à distance (RCE) surnommé CVE-20220-32893 dans le logiciel de rendu HTML d'Apple (WebKit), au moyen duquel une page Web piégée peut inciter les iPhones, iPads et Mac à exécuter un code logiciel non autorisé et non fiable.
En termes simples, un cybercriminel pourrait implanter des logiciels malveillants sur votre appareil même si vous ne faisiez que consulter une page Web par ailleurs innocente.
N'oubliez pas que WebKit est la partie du moteur de navigation d'Apple qui se trouve sous absolument tous les logiciels de rendu Web sur les appareils mobiles d'Apple.
Les Mac peuvent exécuter des versions de Chrome, Chromium, Edge, Firefox et d'autres navigateurs "non-Safari" avec des moteurs HTML et JavaScript alternatifs (Chromium, par exemple, utilise Cligner des yeux ainsi que V8; Firefox est basé sur Gecko ainsi que Rhinocéros).
Mais sur iOS et iPadOS, les règles de l'App Store d'Apple insistent sur le fait que tout logiciel offrant n'importe quel type de fonctionnalité de navigation Web doit être basé sur WebKit, y compris les navigateurs tels que Chrome, Firefox et Edge qui ne s'appuient sur le code de navigation d'Apple sur aucune autre plate-forme sur laquelle vous pourriez les utiliser.
De plus, toutes les applications Mac et iDevice avec des fenêtres contextuelles telles que d’aide or Description Les écrans utilisent le HTML comme "langage d'affichage" - une commodité de programmation qui est naturellement populaire auprès des développeurs.
Les applications qui font cela utilisent presque certainement celles d'Apple WebView fonctions système, et WebView est basé directement sur WebKit, il est donc affecté par toutes les vulnérabilités de WebKit.
La CVE-2022-32893 La vulnérabilité affecte donc potentiellement beaucoup plus d'applications et de composants système que le seul navigateur Safari d'Apple, donc le simple fait d'éviter Safari ne peut pas être considéré comme une solution de contournement, même sur les Mac où les navigateurs non WebKit sont autorisés.
Puis il y a un deuxième jour zéro
Il existe également un trou d'exécution du code du noyau appelé CVE-2022-32894, par lequel un attaquant qui a déjà pris pied sur votre appareil Apple en exploitant le bogue WebKit susmentionné…
… pourrait passer du contrôle d'une seule application sur votre appareil à la prise en charge du noyau du système d'exploitation lui-même, acquérant ainsi le type de "superpuissances administratives" normalement réservées à Apple lui-même.
Cela signifie presque certainement que l'attaquant pourrait :
- Espionnez toutes les applications en cours d'exécution
- Téléchargez et démarrez des applications supplémentaires sans passer par l'App Store
- Accéder à presque toutes les données sur l'appareil
- Modifier les paramètres de sécurité du système
- Récupérer votre position
- Prendre des captures d'écran
- Utiliser les caméras de l'appareil
- Activez le microphone
- Copier des SMS
- Suivez votre navigation…
…et beaucoup plus.
Apple n'a pas dit comment ces bugs ont été trouvés (autre que pour créditer "un chercheur anonyme"), n'a pas dit où dans le monde ils ont été exploités, et n'a pas dit qui les utilise ni dans quel but.
En gros, cependant, un WebKit RCE fonctionnel suivi d'un exploit de noyau fonctionnel, comme on le voit ici, fournit généralement toutes les fonctionnalités nécessaires pour monter un jailbreak de périphérique (contournant ainsi délibérément presque toutes les restrictions de sécurité imposées par Apple), ou pour installer un logiciel espion en arrière-plan et vous garder sous surveillance complète.
Que faire?
Patchez tout de suite !
Au moment de la rédaction de cet article, Apple a publié des avis pour iPad OS 15 et iOS 15, qui obtiennent tous deux des numéros de version mis à jour de 15.6.1, Et pour macOS Monterey 12, qui obtient un numéro de version mis à jour de 12.5.2.
- Sur votre iPhone ou iPad : Paramètres > Général > Mise à jour du logiciel
- Sur votre Mac: Menu Pomme > À propos de ce Mac > Mise à jour logicielle…
Il y a aussi une mise à jour qui prend watchOS vers la version 8.7.1, mais cette mise à jour ne répertorie aucun numéro CVE et ne contient pas d'avis de sécurité propre.
On ne sait pas si les anciennes versions prises en charge de macOS (Big Sur et Catalina) sont affectées mais n'ont pas encore de mises à jour disponibles, ou si tvOS est vulnérable mais pas encore corrigé.
Pour plus d'informations, surveillez cet espace et gardez un œil sur la page du portail officiel du bulletin de sécurité d'Apple, HT201222.
