Apple a publié vendredi des mises à jour de sécurité pour iOS, iPadOS, macOSet Navigateur Web Safari pour corriger une paire de failles zero-day qui sont exploitées dans la nature.
Les deux vulnérabilités sont les suivantes –
- CVE-2023-28205 – UN utiliser après le numéro gratuit dans WebKit qui pourrait conduire à l’exécution de code arbitraire lors du traitement de contenu Web spécialement conçu.
- CVE-2023-28206 – Un problème d’écriture hors limites dans IOSurfaceAccelerator qui pourrait permettre à une application d’exécuter du code arbitraire avec les privilèges du noyau.
Apple a déclaré avoir traité CVE-2023-28205 avec une meilleure gestion de la mémoire et le second avec une meilleure validation des entrées, ajoutant qu’il était conscient que les bogues « pourraient avoir été activement exploités ».
Clément Lecigne du Threat Analysis Group (TAG) de Google et Donncha Ó Cearbhaill du Security Lab d’Amnesty International sont crédités d’avoir découvert et signalé les failles.
Les détails sur les deux vulnérabilités ont été retenus à la lumière de l’exploitation active et pour empêcher davantage d’acteurs malveillants d’en abuser.
Les mises à jour sont disponibles dans les versions iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 et Safari 16.4.1. Les correctifs couvrent également une large gamme d’appareils –
- iPhone 8 et versions ultérieures, iPad Pro (tous les modèles), iPad Air 3e génération et versions ultérieures, iPad 5e génération et versions ultérieures et iPad mini 5e génération et versions ultérieures
- Mac exécutant macOS Big Sur, Monterey et Ventura
Apple a corrigé trois zero-days depuis le début de l’année. En février, Apple a abordé un autre zero-day activement exploité (CVE-2023-23529) dans WebKit qui pourrait entraîner l’exécution de code arbitraire.
Le développement intervient également alors que Google TAG a révélé que les fournisseurs de logiciels espions commerciaux exploitent les jours zéro dans Android et iOS pour infecter les appareils mobiles avec des logiciels malveillants de surveillance.
