Apple corrige 3 autres vulnérabilités Zero-Day

Dans une mise à jour de sécurité d'urgence, Apple a identifié trois vulnérabilités zero-day affectant les produits iPhone et Mac qui sont activement exploités.

Une vulnérabilité, suivie comme CVE-2023-41992, est une faille trouvée dans le Kernel Framework que les acteurs malveillants peuvent exploiter pour élever leurs privilèges. Deux des autres vulnérabilités, suivies comme CVE-2023-41993 et de CVE-2023-41991. se trouvent respectivement dans le moteur de navigateur WebKit et dans Security Framework. Selon l'avis d'Apple, les acteurs malveillants ont la possibilité de « contourner la validation de signature » ainsi que « d'exécuter du code arbitraire via des pages Web conçues de manière malveillante » s'ils exploitent ces vulnérabilités.

Les appareils concernés par ces zero-day varient entre les modèles de produits Apple plus anciens et plus récents, y compris l'iPhone 8 et les versions ultérieures ; iPad mini 5e génération et versions ultérieures ; tout Mac fonctionnant sous macOS Monterey ou version ultérieure ; et l'Apple Watch Series 4 et versions ultérieures.

Ces problèmes ont été résolus dans iOS 16.7, iPadOS 16.7, OS 17.0.1, iPadOS 17.0.1 et Safari 16.6.1, et ont été découvert et signalé pour la première fois par Bill Marczak du Citizen Lab et Maddie Stone du Threat Analysis Group de Google. Citizen Lab surveille généralement les cas de logiciels espions, mais jusqu'à présent, aucun détail n'est disponible sur la nature des exploits ou des attaques dans la nature. 

"Apple est au courant d'un rapport selon lequel ce problème pourrait avoir été activement exploité contre des versions d'iOS antérieures à iOS 16.7 », a déclaré la base de données nationale sur les vulnérabilités, bien que l'étendue dans laquelle ils ont été exploités soit inconnue.