La grande image: Les appareils iOS sont souvent ciblés à la fois par les cybercriminels et les fabricants de logiciels espions « commerciaux » pour les opérations de surveillance, le vol de données et d’autres activités malveillantes. Un pirate informatique doit simplement trouver un bogue de sécurité dans WebKit comme celui qu’Apple a corrigé avec ses dernières mises à jour pour les systèmes d’exploitation iPhone et iPad pour démarrer.

Apple a publié une version mise à jour d’iOS et d’iPadOS, tous deux affectés par quelques failles de sécurité dangereuses. L’une des failles est déjà exploitée par des cybercriminels inconnus « dans la nature », nous dit-on. Compte tenu des personnes qu’Apple remercie pour la publication, la faille susmentionnée pourrait également faire partie de certains systèmes de logiciels espions bien connus vendus aux organisations (et États étrangers) les plus dangereuses au monde.

Informations sur les deux bogues corrigés est inclus dans les notes sur le « contenu de sécurité » d’iOS 16.3.1 et d’iPadOS 16.3.1. Connue sous le nom de CVE-2023-23514, la première vulnérabilité est décrite comme un « problème d’utilisation après libération » qui a été résolu par une gestion améliorée de la mémoire. Une application malveillante conçue pour exploiter le bogue pourrait exécuter du code arbitraire avec les privilèges du noyau, a averti Apple.

La deuxième vulnérabilité est connue sous le nom de CVE-2023-23529, et c’est de loin la plus dangereuse. Il est décrit comme un « problème de confusion de type » dans le moteur de navigateur WebKit qui pourrait être utilisé pour créer une page Web malveillante pour exécuter du code arbitraire. Apple a déclaré être conscient que le problème « a peut-être déjà été activement exploité », ce qui signifie en fait que les chercheurs en sécurité ont probablement dit à l’entreprise que la vulnérabilité de sécurité du jour zéro faisait déjà partie d’une campagne malveillante contre les utilisateurs d’iPhone et d’iPad.

Apple a remercié Xinru Chi (Pangu Lab) et Ned Williamson (Google Project Zero) pour avoir découvert CVE-2023-23514, et un chercheur anonyme pour les avoir pointés vers CVE-2023-23529. De plus, Cupertino a reconnu l’aide qu’ils ont reçue du Citizen Lab de la Munk School de l’Université de Toronto avec les défauts.

Le groupe Citizen Lab est bien connu pour leurs travaux de recherche contre les « outils de piratage » dangereux fabriqués par NSO Group et vendus aux agences gouvernementales et aux forces de police du monde entier. La société israélienne est tristement célèbre pour avoir créé Pegasus, un logiciel espion multiplateforme conçu pour exploiter les failles zero-day telles que CVE-2023-23529 pour les opérations de surveillance basées sur les smartphones.

Selon plusieurs rapports, Pegasus a été utilisé pour cibler des militants des droits de l’homme et des journalistes, pour l’espionnage d’État au Pakistan et pour la surveillance intérieure de citoyens israéliens. Il a également joué un rôle dans le meurtre de Jamal Khashoggi par des agents du gouvernement saoudien.

Compte tenu de l’implication des chasseurs de Pegasus au Citizen Lab et du fait qu’Apple est pour le moment discret sur la question, CVE-2023-23529 pourrait très bien être une autre arme découverte dans le puissant arsenal de logiciels espions commerciaux et d’outils de surveillance. régulièrement abusé pour cibler les dissidents dans toutes les régions du monde.