{"id":20455,"date":"2023-04-20T09:23:18","date_gmt":"2023-04-20T07:23:18","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=20455"},"modified":"2023-04-20T09:23:18","modified_gmt":"2023-04-20T07:23:18","slug":"ios-macos-vulnerabilities-april-2023","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/ios-macos-vulnerabilities-april-2023\/20455\/","title":{"rendered":"Mettez iOS et macOS \u00e0 jour \u2014 encore une fois !"},"content":{"rendered":"

Nous venions juste de publier plusieurs articles sur les vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es dans les syst\u00e8mes d\u2019exploitation Apple<\/a> et Microsoft<\/a> et dans les puces Exynos de Samsung<\/a>, qui permettent aux cybercriminels de pirater les smartphones sans que les propri\u00e9taires des dispositifs n\u2019aient rien \u00e0 faire, lorsque tout le monde a commenc\u00e9 \u00e0 parler de plusieurs failles de s\u00e9curit\u00e9 critiques dans iOS et macOS, sans oublier celles que les cybercriminels exploitaient d\u00e9j\u00e0. Ces vuln\u00e9rabilit\u00e9s sont si graves que, pour les combattre, Apple a d\u00fb rapidement lancer des mises \u00e0 jour pour les derniers syst\u00e8mes d\u2019exploitation et pour toutes les versions ant\u00e9rieures. Voyons ce qui s\u2019est pass\u00e9 \u00e9tape par \u00e9tape\u2026<\/p>\n

\u00a0<\/p>\n

Des vuln\u00e9rabilit\u00e9s sont d\u00e9tect\u00e9es dans WebKit et IOSurfaceAccelerator<\/h2>\n

Au total, ce sont deux vuln\u00e9rabilit\u00e9s qui ont \u00e9t\u00e9 d\u00e9couvertes. La premi\u00e8re, CVE-2023-28205<\/a>, avec un niveau de risque de 8,8\/10, concerne le moteur WebKit<\/a>, qui est la base du navigateur Safari. Mais ce n\u2019est pas tout\u00a0; nous y reviendrons un peu plus tard. Le plus important de cette vuln\u00e9rabilit\u00e9 est que les escrocs peuvent ex\u00e9cuter un code arbitraire sur le dispositif \u00e0 l\u2019aide d\u2019une page malveillante sp\u00e9cialement con\u00e7ue.<\/p>\n

La seconde vuln\u00e9rabilit\u00e9, CVE-2023-28206<\/a>, avec un niveau de risque de 8,6\/10, a \u00e9t\u00e9 d\u00e9couverte dans l\u2019objet IOSurfaceAccelerator. Les cybercriminels peuvent s\u2019en servir pour ex\u00e9cuter un code avec des privil\u00e8ges li\u00e9s au noyau du syst\u00e8me d\u2019exploitation. Ces deux vuln\u00e9rabilit\u00e9s peuvent \u00eatre utilis\u00e9es ensemble : la premi\u00e8re permet de p\u00e9n\u00e9trer dans l\u2019appareil pour que la seconde puisse \u00eatre exploit\u00e9e. Cette derni\u00e8re permet aux escrocs de \u00ab\u00a0s\u2019\u00e9chapper de la sandbox\u00a0\u00bb et de faire presque tout ce qu\u2019ils veulent sur l\u2019appareil infect\u00e9.<\/p>\n

Ces vuln\u00e9rabilit\u00e9s concernent les syst\u00e8mes d\u2019exploitation des ordinateurs macOS et des dispositifs mobiles\u00a0: iOS, iPadOS et tvOS. Les derni\u00e8res versions de ces syst\u00e8mes d\u2019exploitation ne sont pas les seules vuln\u00e9rables puisque les versions ant\u00e9rieures sont aussi concern\u00e9es. Apple a publi\u00e9 les mises \u00e0 jour l\u2019une apr\u00e8s l\u2019autre pour tout un \u00e9ventail de syst\u00e8mes\u00a0: macOS 11, 12 et 13, iOS\/iPadOS 15 et 16 et tvOS 16.<\/p>\n

\u00a0<\/p>\n

Pourquoi ces vuln\u00e9rabilit\u00e9s sont dangereuses<\/h2>\n

Le moteur WebKit est le seul moteur de recherche autoris\u00e9 sur les syst\u00e8mes d\u2019exploitation mobiles d\u2019Apple. M\u00eame si vous utilisez un autre navigateur sur votre iPhone, WebKit est toujours utilis\u00e9 pour afficher les pages des sites. On peut dire qu\u2019avec iOS, n\u2019importe quel navigateur est Safari.<\/p>\n

De plus, ce m\u00eame moteur est utilis\u00e9 lorsque vous ouvrez une page Web depuis une application. Parfois \u00e7a ne ressemble pas \u00e0 une page Web, mais WebKit est tout de m\u00eame utilis\u00e9 pour l\u2019afficher. C\u2019est pourquoi il est essentiel d\u2019installer d\u00e8s que possible toutes les nouvelles mises \u00e0 jour de Safari<\/a>, m\u00eame si vous utilisez un autre navigateur comme Google Chrome ou Mozilla Firefox.<\/p>\n

Les vuln\u00e9rabilit\u00e9s de WebKit, comme celle d\u00e9crite ci-dessus, permettent d\u2019infecter l\u2019iPhone, l\u2019iPad ou le Mac \u00e0 l\u2019aide d\u2019une attaque sans clic. Le dispositif est infect\u00e9 sans que l\u2019utilisateur n\u2019ait rien \u00e0 faire. Il suffit de le leurrer et de le rediriger vers un site malveillant sp\u00e9cialement con\u00e7u.<\/p>\n

Ces vuln\u00e9rabilit\u00e9s sont g\u00e9n\u00e9ralement exploit\u00e9es pour s\u2019en prendre aux grandes entreprises ou aux personnes importantes \u00e0 l\u2019aide d\u2019attaques cibl\u00e9es<\/a>. Les utilisateurs courants peuvent aussi \u00eatre attaqu\u00e9s s\u2019ils ont la malchance d\u2019ouvrir une page infect\u00e9e. Il semblerait qu\u2019il y ait une action similaire dans ce cas. Comme d\u2019habitude, Apple n\u2019a pas publi\u00e9 les d\u00e9tails, mais d\u2019apr\u00e8s l\u2019opinion g\u00e9n\u00e9rale<\/a>, la cha\u00eene des vuln\u00e9rabilit\u00e9s d\u00e9crite ant\u00e9rieurement est activement utilis\u00e9e par des cybercriminels anonymes pour installer un logiciel espion.<\/p>\n

\"La<\/a><\/p>\n

\u00a0<\/p>\n

\u00c9tant donn\u00e9 que les vuln\u00e9rabilit\u00e9s CVE-2023-28205 et CVE-2023-28206 ont \u00e9t\u00e9 rendues publiques et qu\u2019une preuve de concept a \u00e9t\u00e9 publi\u00e9e<\/a> pour la seconde faille, il est fort probable que d\u2019autres cybercriminels commencent \u00e0 les exploiter.<\/p>\n

\u00a0<\/p>\n

Comment vous prot\u00e9ger contre les vuln\u00e9rabilit\u00e9s d\u00e9crites<\/h2>\n

\u00c9videmment, vous devez rapidement installer les derni\u00e8res mises \u00e0 jour d\u2019Apple pour vous prot\u00e9ger contre CVE-2023-28205 et CVE-2023-28206. Voici ce que vous devez faire selon l\u2019appareil utilis\u00e9\u00a0:<\/p>\n