Mises à jour de l'histoire de la mise à jour zéro jour d'Apple - les utilisateurs d'iPhone et d'iPad lisent ceci !

Les lecteurs réguliers sauront deux choses sur notre attitude à l'égard des correctifs de sécurité d'Apple :

• Nous aimons les obtenir le plus tôt possible. Qu'il s'agisse d'une mise à niveau de la version complète qui inclut également un certain nombre de correctifs de sécurité, ou d'une version intermédiaire (celle dans laquelle le numéro de version le plus à gauche ne change pas) dont le but principal est de corriger les bogues plutôt que d'ajouter de nouvelles fonctionnalités, nous préférons nous tromper. Le côté de l'application de correctifs de sécurité connus plutôt que de laisser nos appareils avec des failles dont les attaquants sont désormais conscients, même s'ils ne savent pas encore comment les exploiter.
• On trouve néanmoins très souvent les communiqués d'Apple déroutants. Par exemple, vous ne savez jamais vraiment où vous en êtes si vous êtes bloqué sur une version qui n’a pas reçu de mise à jour cette fois-ci.

Les derniers bulletins de sécurité d'Apple, parus plus tôt cette semaine, semblent illustrer comment l'entreprise semble parfois accroître la confusion en en disant trop peu… ce qui n'est pas toujours une bonne alternative à trop en savoir :

Confusion émergente

Sur la base des demandes de renseignements et des commentaires que nous avons reçus des lecteurs ces derniers jours, la confusion suivante est apparue :

• Pourquoi un seul bulletin de sécurité décrit-il des mises à jour baptisées iOS 16.1 et iPadOS 16 ? Nous savons que l'iPadOS 16 a été retardé, cette mise à jour récente signifiait donc qu'iPadOS était désormais corrigé uniquement au même niveau de sécurité qu'iOS 16, sorti il ​​y a plus d'un mois, tandis qu'iOS avançait vers 16.1, laissant ainsi iPadOS plus de cinq semaines à la dérive en matière de cybersécurité ?
• Pourquoi iPadOS 16 s’est-il finalement signalé comme version 16.1 ? (Merci à Stefaan de Belgique d'avoir pris des captures d'écran du processus de mise à jour de son iPad et de les avoir envoyées.) Après la mise à jour, le About l'écran indique apparemment iPadOS 16, comme le faisait le bulletin de sécurité, tandis que le iPadOS Version l'écran indique explicitement 16.1. Il semble que les iPhones et les iPads prennent désormais non seulement en charge « la famille de versions connue sous le nom de 16 », mais disposent également des tout derniers correctifs de sécurité, alors pourquoi ne pas simplement les appeler tous les deux version 16.1 partout pour plus de clarté, y compris dans le bulletin de sécurité. et sur le About écran?
• Où est passé macOS 10 Catalina ? Traditionnellement, Apple abandonne la prise en charge de la version X-3 de macOS lorsque la version X sort, mais est-ce la véritable explication de la raison pour laquelle macOS 11 Big Sur et macOS 12 Monterey (versions X-2 et X-1 respectivement) ont reçu des mises à jour alors que Catalina l'a fait. t?
• Qu’est-il arrivé à iOS/iPadOS 15.7.1 ? Quand iOS 16 est sorti en septembre 2022, la famille de versions précédentes a également reçu des mises à jour critiques, la portant à la version 15.7. Cela comprenait un correctif critique pour fermer un trou du jour zéro au niveau du noyau sous exploitation active, ce qui se traduit souvent par « quelqu’un introduit des logiciels espions sur les iPhones, les amis ». Donc, étant donné qu'iOS 16.1 inclus encore un autre correctif du noyau zero-day, fermant peut-être une voie exploitée par encore plus de logiciels espions, où se trouvait le correctif correspondant pour la famille iOS/iPadOS 15, qui, par analogie, serait 15.7.1 ?

Comme nous l'avons dit dans le podcast d'hier, face à la quatrième question ci-dessus d'un lecteur inquiet, notre réponse courte a été simplement : « CANARD : Je ne sais pas./DOUG : Clair comme de la boue. »

Parfois, les bogues de sécurité dans la version X du système d'exploitation ne s'appliquent tout simplement pas à la version X-1, par exemple parce que les bogues existent dans du code qui a été simplement ajouté, ou uniquement exposé à un danger, dans les versions plus récentes.

Mais nous avons également vu Apple échouer à produire des mises à jour pour les versions précédentes pour deux autres raisons, soit [a] parce qu'une mise à jour est réellement nécessaire, mais s'est avérée trop difficile à préparer et à tester à temps, ou [b] parce que la version précédente était désormais considérée comme non prise en charge et ne bénéficierait pas d'une mise à jour, nécessaire ou non.

Et comme les bulletins de sécurité Apple ne vous informent presque toujours que des correctifs actuellement disponibles, les mises à jour manquantes restent régulièrement un mystère inexpliqué (et inexplicable).

Une explosion de bulletins

Eh bien, ce matin, nous avons reçu une série de 15 e-mails de bulletins de sécurité d'Apple, la plupart répertoriant de nombreux bogues et problèmes de sécurité numérotés CVE signalés dans les bulletins que nous avions déjà vus plus tôt dans la semaine.

Aucun d'entre eux n'a directement clarifié les trois premières questions ci-dessus, même si nous supposons maintenant que la raison pour laquelle Apple a fait référence à « iPadOS 16 » ainsi qu'à « iPadOS 16.1 » était une tentative peut-être malavisée de transmettre l'information selon laquelle iPadOS recevait désormais sa sortie tardive. améliorer à la version famille 16, ainsi que d'obtenir un Mise à jour équivalent en correctifs de sécurité au nouvel iOS 16.1.

Mais le tout premier bulletin de la dernière salve d'Apple a résolu la dernière question listée ci-dessus, en annonçant iOS/iPadOS 15.7.1, qui s'avère être un solution critique:

APPLE-SA-2022-10-27-1 : iOS 15.7.1 et iPadOS 15.7.1 iOS 15.7.1 et iPadOS 15.7.1 résout les problèmes suivants. Des informations sur le contenu de sécurité sont également disponibles sur https://support.apple.com/HT213490. [. . .] Noyau Disponible pour : iPhone 6s et versions ultérieures, iPad Pro (tous les modèles), iPad Air 2 et versions ultérieures, iPad 5e génération et versions ultérieures, iPad mini 4 et versions ultérieures et iPod touch (7e génération) Impact : Une application peut être en mesure pour exécuter du code arbitraire avec les privilèges du noyau. Apple a connaissance d'un rapport selon lequel ce problème pourrait avoir été activement exploité. Description : un problème d’écriture hors limites a été résolu grâce à une vérification améliorée des limites. CVE-2022-42827 : un chercheur anonyme

Ainsi, iOS/iPadOS 15 est toujours pris en charge, et si vous n'avez pas mordu la balle et mis à niveau vers iOS 16.1 (ou vers l'iPadOS 16 au nom schismatique-qui-est-aussi-16.1) plus tôt dans la semaine…

… alors vous devriez vous assurer que obtenez immédiatement iOS/iPadOS 15.7.1, car le trou zero-day du noyau CVE-2022-42827 corrigé dans iOS 16.1 se trouve juste là dans iOS/iPadOS 15.7, en cours d'exploitation active.

En d’autres termes, il s’agit d’un de ces cas où la raison de la mise à jour manquante il y a quelques jours était presque certainement simplement le fait que les correctifs n’étaient pas prêts à temps.

Que faire?

TL;DR si vous êtes un utilisateur d'iPhone ou d'iPad : si vous utilisez toujours la version majeure 15 d'iOS/iPadOS, accédez à Paramètres > Général > Mise à jour de sécurité tout de suite.

Vérifiez même si les mises à jour automatiques sont activées et n'oubliez pas non seulement d'approuver le téléchargement si vous ne l'avez pas déjà fait, mais également de forcer votre appareil à franchir l'étape d'installation, qui nécessite un ou plusieurs redémarrages (et le fait, bien sûr, mettez votre téléphone ou votre tablette hors ligne pendant un moment).

TL;DR si vous êtes Apple : un peu plus de clarté serait très utile dans les bulletins de sécurité, surtout quand on sait soit qu'une mise à jour critique est un avantage pour les utilisateurs de versions antérieures, soit qu'ils n'auront pas besoin d'une mise à jour car leur version n'est pas affectée.

À propos, si vous avez décidé de passer à iOS/iPadOS 16.1 plus tôt cette semaine, juste pour être sûr…

… vous ne pouvez pas maintenant revenir à iOS/iPadOS 15.7.1, car Apple n'autorise pas les rétrogradations.

(Les rétrogradations facilitent le jailbreak, ce qu'Apple vise à empêcher, et nécessiteraient dans tous les cas un effacement complet des données au préalable pour éviter qu'une rétrogradation ne soit utilisée comme un contournement de sécurité malveillant « apportez votre propre bug » pour exfiltrer des informations personnelles.)

---