Apple a publié vendredi des mises à jour de sécurité pour iOS, iPadOS, macOS et le navigateur web Safari afin de corriger deux vulnérabilités zero-day exploitées activement.
Les deux vulnérabilités sont les suivantes :
CVE-2023-28205 – Un problème d’utilisation après libération dans WebKit pouvant entraîner l’exécution de code arbitraire lors du traitement de contenu web spécialement conçu. CVE-2023-28206 – Un problème d’écriture hors limites dans IOSurfaceAccelerator qui pourrait permettre à une application d’exécuter du code arbitraire avec des privilèges de noyau. Apple a déclaré avoir résolu le CVE-2023-28205 grâce à une meilleure gestion de la mémoire et le second grâce à une meilleure validation des entrées, ajoutant qu’elle est consciente que ces failles “ont pu être activement exploitées”.
Clément Lecigne du Threat Analysis Group (TAG) de Google et Donncha Ó Cearbhaill du Security Lab d’Amnesty International sont crédités de la découverte et du signalement de ces failles.
Les détails concernant les deux vulnérabilités ont été retenus en raison de leur exploitation active et pour éviter que d’autres acteurs malveillants ne les utilisent.
Les mises à jour sont disponibles dans les versions iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 et Safari 16.4.1. Les correctifs concernent également un large éventail d’appareils :
iPhone 8 et modèles ultérieurs, iPad Pro (tous les modèles), iPad Air 3e génération et ultérieurs, iPad 5e génération et ultérieurs, et iPad mini 5e génération et ultérieurs. Macs fonctionnant sous macOS Big Sur, Monterey et Ventura Apple a corrigé trois failles zero-day depuis le début de l’année. En février, Apple a résolu une autre faille zero-day activement exploitée (CVE-2023-23529) dans WebKit pouvant entraîner l’exécution de code arbitraire.
Cette évolution intervient alors que le TAG de Google a révélé que des fournisseurs de logiciels espions commerciaux exploitent des failles zero-day dans Android et iOS pour infecter des appareils mobiles avec des logiciels malveillants de surveillance.
