Lorsque Apple a lancé iOS 18.2 aujourd’hui, les gros titres se sont principalement concentrés sur les grands changements, notamment les nouvelles fonctionnalités d’Apple Intelligence comme Image Playground et Genmoji. Mais le côté discret de tout lancement de logiciel Apple concerne ses correctifs de sécurité. iOS 18.2 ne fait pas exception : l’entreprise a publié 20 correctifs pour des failles de sécurité affectant les iPhones fonctionnant sous iOS 18.1.1 et les versions antérieures. Bien qu’aucune d’entre elles ne semble être activement exploitée pour le moment, cela souligne l’importance de mettre à jour votre appareil dès que possible.
Apple a corrigé des problèmes de mise en sourdine des appels, de confidentialité de l’écran de verrouillage et de traitement malveillant
En parcourant la liste des corrections, quelques-unes ont particulièrement attiré mon attention. Tout d’abord, la correction d’une faille audio selon laquelle la mise en sourdine d’un appel pendant qu’il sonne pourrait signifier que la fonction de sourdine échoue. Il va sans dire que vous devez pouvoir faire confiance au bouton de sourdine lors d’un appel, donc tout problème pouvant entraîner une défaillance de ce bouton est préoccupant. Heureusement, Apple déclare avoir corrigé une “interface utilisateur incohérente” pour résoudre le problème. Une autre faille préoccupante affecte VoiceOver : via une erreur dans cette fonction de lecteur d’écran, un attaquant pourrait être en mesure de lire vos notifications sur votre écran de verrouillage, alors que normalement ces alertes seraient cachées jusqu’à ce que votre iPhone soit déverrouillé.
Il existe également un certain nombre de correctifs qui empêchent des applications, images, fichiers et contenus web malveillants de causer des dommages à votre appareil. Par exemple, une faille AppleMobileFileIntegrity permet à une application malveillante d’accéder à vos informations privées, tandis qu’une faille SceneKit permet à un fichier malveillant de provoquer un déni de service, ce qui pourrait verrouiller un utilisateur autorisé hors de l’appareil.
La bonne nouvelle est qu’il semble que personne n’ait été en danger actif d’être attaqué à cause de l’une de ces failles : Apple n’a pas communiqué que l’une d’entre elles ait été activement exploitée, ce qui suggère que les utilisateurs malveillants ne sont soit pas au courant des failles, soit ne savent pas comment en tirer parti. Cela dit, maintenant que ces failles sont exposées, cela ne sera qu’une question de temps avant que des acteurs malveillants ne découvrent comment les exploiter, donc mettre à jour votre iPhone dès que possible reste une décision avisée.
Vous pouvez voir la liste complète des failles ci-dessous :
-
AppleMobileFileIntegrity (CVE-2024-54526) : Une application malveillante peut être en mesure d’accéder à des informations privées. Le problème a été résolu par des vérifications améliorées.
-
AppleMobileFileIntegrity (CVE-2024-54527) : Une application peut être en mesure d’accéder à des données sensibles de l’utilisateur. Ce problème a été résolu par des vérifications améliorées.
-
Audio (CVE-2024-54503) : Mettre un appel en sourdine pendant qu’il sonne peut ne pas activer la mise en sourdine. Un problème d’interface utilisateur incohérente a été résolu par une gestion d’état améliorée.
-
Crash Reporter (CVE-2024-54513) : Une application peut être en mesure d’accéder à des données sensibles de l’utilisateur. Un problème de permissions a été assaini par des restrictions supplémentaires.
-
FontParser (CVE-2024-54486) : Le traitement d’une police conçue de manière malveillante peut entraîner la divulgation de la mémoire du processus. Le problème a été résolu par des vérifications améliorées.
-
ImageIO (CVE-2024-54500) : Le traitement d’une image malveillante peut entraîner la divulgation de la mémoire du processus. Le problème a été résolu par des vérifications améliorées.
-
Kernel (CVE-2024-54494) : Un attaquant pourrait créer un mappage de mémoire en lecture seule qui peut être écrit. Une condition de concurrence a été résolue par une validation supplémentaire.
-
Kernel (CVE-2024-54510) : Une application peut être en mesure de fuiter des états sensibles du noyau. Une condition de concurrence a été résolue par un meilleur verrouillage.
-
Kernel (CVE-2024-44245) : Une application peut provoquer une terminaison système inattendue ou corrompre la mémoire du noyau. Le problème a été résolu par une gestion de mémoire améliorée.
-
libexpat (CVE-2024-45490) : Un attaquant à distance peut provoquer une terminaison inattendue de l’application ou une exécution de code arbitraire. C’est une vulnérabilité dans le code open source et le logiciel Apple fait partie des projets touchés.
-
libxpc (CVE-2024-54514) : Une application peut être en mesure de sortir de son bac à sable. Le problème a été résolu par des vérifications améliorées.
-
libxpc (CVE-2024-44225) : Une application peut obtenir des privilèges élevés. Un problème de logique a été corrigé par des vérifications améliorées.
-
Passwords (CVE-2024-54492) : Un attaquant dans une position de réseau privilégié peut être en mesure de modifier le trafic réseau. Ce problème a été résolu en utilisant HTTPS lors de l’envoi d’informations sur le réseau.
-
Safari (CVE-2024-44246) : Sur un appareil avec Relais Privé activé, ajouter un site Web à la liste de lecture de Safari peut révéler l’adresse IP d’origine au site Web. Le problème a été résolu par un meilleur routage des requêtes d’origine Safari.
-
SceneKit (CVE-2024-54501) : Le traitement d’un fichier malveillant peut entraîner un déni de service. Le problème a été résolu par des vérifications améliorées.
-
VoiceOver (CVE-2024-54485) : Un attaquant ayant un accès physique à un appareil iOS peut être en mesure de voir le contenu des notifications depuis l’écran de verrouillage. Le problème a été résolu en ajoutant une logique supplémentaire.
-
WebKit (CVE-2024-54479/CVE-2024-54502) : Le traitement de contenus web malveillants peut provoquer un plantage inattendu du processus. Le problème a été résolu par des vérifications améliorées.
-
WebKit (CVE-2024-54508) : Le traitement de contenus web malveillants peut entraîner un plantage inattendu du processus. Le problème a été résolu par une gestion de mémoire améliorée.
-
WebKit (CVE-2024-54505) : Le traitement de contenus web malveillants peut entraîner une corruption de la mémoire. Un problème de confusion de type a été résolu par une gestion de mémoire améliorée.
-
WebKit (CVE-2024-54534) : Le traitement de contenus web malveillants peut entraîner une corruption de la mémoire. Le problème a été résolu par une gestion de mémoire améliorée.
Apple a également publié des mises à jour de sécurité pour iPadOS, macOS Sequoia, macOS Sonoma, macOS Ventura, watchOS, tvOS, et visionOS. Si vous disposez de l’un de ces appareils, vous devriez également les mettre à jour dès que possible.
