Apple a corrigé iOS contre trois vulnérabilités zero-day que les attaquants exploitaient activement dans la nature. Les attaques ont été découvertes par le groupe de recherche sur la vulnérabilité Project Zero de Google, qui au cours des dernières semaines a détecté quatre autres exploits zero-day – trois contre Chrome et un troisième contre Windows.
Les failles de sécurité affectent l’iPhone 6s et les versions ultérieures, les iPod touch de septième génération, les iPad Air 2 et les versions ultérieures, et les iPad mini 4 et les versions ultérieures. Les défauts sont:
- CVE-2020-27930, une vulnérabilité d’exécution de code que les attaquants peuvent déclencher à l’aide de polices conçues de manière malveillante
- CVE-2020-27950, qui permet à une application malveillante d’obtenir les emplacements dans la mémoire du noyau, et
- CVE-2020-27932, un bogue qui permet au code de s’exécuter avec des droits système hautement privilégiés.
Apple a correction des zéro jours et autres vulnérabilités avec le sortie d’iOS 14.2 plus tôt. Apple a corrigé les mêmes vulnérabilités dans le supplément Mise à jour pour macOS Catalina 10.15.7. Le chef de Project Zero, Ben Hawkes, a fourni sa propre divulgation ici.
La divulgation marque le cinquième, le sixième et le septième rapport du Projet Zero-day depuis le 20 octobre. CVE-2020-15999, CVE-2020-16009 et CVE-2020-16010 bureau Chrome concerné ou Chrome pour Android. Pendant ce temps, Project Zero aussi découvert CVE-2020-117087, une faille Windows 10 et Windows 7 qui permet aux attaquants d’élever les privilèges système. Les pirates avaient combiné CVE-2020-15999 avec CVE-2020-117087. Le premier a obtenu une exécution de code limitée et le second l’a exécuté avec des privilèges système élevés.
Google n’a fourni aucun détail sur les attaques autres que celles ciblées (ce qui signifie qu’elles visent des individus spécifiques d’intérêt) et elles ne sont pas liées aux élections de novembre. Des correctifs sont disponibles pour toutes les vulnérabilités autres que celle de Windows, qui devrait être corrigée mardi. Bien que peu de lecteurs, voire aucun, aient été probablement ciblés par les exploits iOS, les utilisateurs devraient installer la version 14.2 de jeudi dès que possible.
