Apple corrige les vulnérabilités zero-day critiques des appareils iOS
Dans un document récemment publié, Apple a confirmé la découverte de deux vulnérabilités zero-day importantes affectant les appareils iOS, probablement exploitées en situation réelle. Cette révélation souligne les risques potentiels associés aux cybermenaces avancées ciblant des individus spécifiques plutôt que le grand public.
Nature des exploits
Les vulnérabilités concernent CoreAudio et RPAC, des infrastructures internes critiques qui fonctionnent au cœur de l’architecture iOS. Apple a qualifié les attaques exploitant ces vulnérabilités d’« extrêmement sophistiquées », établissant des parallèles avec de précédents cas d’opérations de logiciels espions ciblés, rappelant les cas impliquant le célèbre logiciel Pegasus.
Détails sur les vulnérabilités
La première vulnérabilité, identifiée comme CVE-2025-31200, concerne CoreAudio. Apple a expliqué que « le traitement d’un flux audio dans un fichier multimédia malveillant peut entraîner l’exécution de code ».Pour y remédier, l’entreprise a mis en œuvre un correctif visant à améliorer la gestion de la corruption de la mémoire grâce à une vérification des limites améliorée.
La deuxième vulnérabilité, identifiée comme CVE-2025-31201, est liée à RPAC, un composant d’architecture de sécurité de bas niveau. Ce problème permettait aux attaquants disposant d’autorisations d’accès de contourner l’authentification par pointeur, un mécanisme conçu pour se protéger contre les attaques basées sur la mémoire. La solution d’Apple consistait à supprimer complètement le code vulnérable, ce qui témoigne de la gravité de la faille.
Implications et réponse
Il est important de noter qu’Apple s’abstient généralement de reconnaître publiquement l’exploitation active de ses vulnérabilités, sauf en cas d’absolue nécessité. Leur prudence quant à la désignation de cibles spécifiques ou à la fourniture de détails détaillés reflète un protocole de gestion des informations sensibles jusqu’à leur divulgation en toute sécurité.
Le timing de ces annonces, notamment avec des mises à jour discrètement déployées juste avant la prochaine WWDC, suggère qu’Apple souhaitait résoudre ces problèmes de sécurité urgents avant de se concentrer sur les nouvelles fonctionnalités prévues dans iOS 19, telles qu’une interface utilisateur repensée et des capacités Siri améliorées.
Une histoire des vulnérabilités d’exploitation
Cette révélation n’est pas un incident isolé ; des appareils Apple ont déjà été victimes d’exploits furtifs. Par exemple, la célèbre vulnérabilité FORCEDENTRY d’iMessage en 2021 a permis l’installation de logiciels espions sans interaction de l’utilisateur, mettant en évidence les risques persistants au sein de l’écosystème.
Mises à jour disponibles
Apple a confirmé que ces vulnérabilités ont été corrigées dans les versions 18.4.1 d’iOS et d’iPadOS. Il est vivement conseillé aux utilisateurs d’installer rapidement cette mise à jour, en particulier ceux possédant un iPhone XS ou un modèle ultérieur, ou un iPad compatible. Des correctifs sont également disponibles dans les mises à jour de tvOS 18.4.1, macOS Sequoia 15.4.1 et VisionOS 2.4.1.
Laisser un commentaire