Apple a publié des mises à jour d'iOS 15.0.2 et d'iPadOS 15.0.2 pour corriger une vulnérabilité zero-day qui a été activement exploitée dans des attaques réelles contre les iPhones et les iPads.
Apple a publié des mises à jour d'urgence pour iOS 15.0.2 et iPadOS 15.0.2 pour corriger une vulnérabilité zero-day qui a été activement exploitée dans des attaques réelles contre les iPhones et les iPads.
L'ID de vulnérabilité CVE-2021-30883 est un bogue de corruption de mémoire fatale dans le IOMobileFrameBuffer qui permet aux attaquants d'exécuter des commandes sur des appareils vulnérables avec des privilèges de noyau.
Étant donné que les privilèges du noyau permettent à une application d'exécuter n'importe quelle commande sur l'appareil, les attaquants pourraient potentiellement exploiter la vulnérabilité pour voler des données ou installer des logiciels malveillants sur l'appareil.
Apple ne fournit pas d'informations détaillées sur les modèles d'attaque réels, mais confirme la détection de campagnes malveillantes. Dans un bulletin de sécurité, l'entreprise déclare :
Apple est au courant des rapports d'exploitation réelle du problème.
Apple utilise délibérément un langage vague à ce stade pour s'assurer que la mise à jour s'applique à autant d'appareils que possible. Sinon, d'autres attaquants pourront connaître les détails des attaques et analyser le correctif pour créer leurs propres exploits.
Cependant, peu de temps après la découverte de la vulnérabilité, le chercheur en sécurité Saar Amar a publié un rapport technique et un exploit expérimental qui a été rétro-conçu à partir du correctif.
La liste des appareils concernés est assez longue et couvre les modèles plus anciens et plus récents, y compris iPhone 6s et versions ultérieures, iPad Pro (tous les modèles), iPad Air 2 et versions ultérieures, iPad 5e génération et versions ultérieures, iPad mini 4 et versions ultérieures, et iPod touch ( 7 e génération).
Bien qu'il soit possible que la vulnérabilité soit exploitée dans des attaques ciblées contre des cibles spécifiques et qu'elle ne soit pas répandue, il est fortement recommandé d'installer la mise à jour dès que possible en raison du danger de la vulnérabilité.
Plus tôt cette année, Apple a corrigé un certain nombre d'autres vulnérabilités zero-day utilisées dans les attaques contre les iPhones, iPads et appareils macOS, notamment :
En septembre, Apple a corrigé deux vulnérabilités zero-day, dont l'une a été utilisée pour installer le logiciel espion Pegasus sur les iPhones.
Fin août, l'exploit FORCEDENTRY (précédemment suivi par Amnesty Tech sous le nom de Megalodon) a été corrigé.
En février, trois vulnérabilités zero-day dans iOS ont été corrigées (CVE-2021-1870, CVE-2021-1871, CVE-2021-1872), qui ont été largement exploitées dans des attaques réelles.
En mars, une vulnérabilité zero-day dans iOS (CVE-2021-1879) a été corrigée et pouvait être activement exploitée.
En avril, une vulnérabilité zero-day dans iOS (CVE-2021-30661) et une autre vulnérabilité dans macOS (CVE-2021-30657) ont été corrigées, qui ont été exploitées par le malware Shlayer.
En mai, trois vulnérabilités zero-day dans iOS ont été corrigées (CVE-2021-30663, CVE-2021-30665 et CVE-2021-30666) permettant l'exécution arbitraire de code à distance (RCE) lors de la visite de sites Web malveillants.
En mai, un correctif pour macOS zero-day (CVE-2021-30713), qui a été utilisé par le malware XCSSET pour contourner la protection de la confidentialité TCC d'Apple.
En juin, deux vulnérabilités zero-day dans iOS ont été corrigées (CVE-2021-30761 et CVE-2021-30762), qui pourraient être activement utilisées pour pirater les anciens appareils iPhone, iPad et iPod.
Et fin septembre, l'un des chercheurs a divulgué publiquement des informations sur les exploits de trois vulnérabilités zero-day après qu'Apple ait ignoré ses demandes et retardé le correctif.
2021-10-12 10:15:02
Auteur: Vitalii Babkin