Une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e dans les syst\u00e8mes d’exploitation iOS et macOS d’Apple aurait pu permettre aux applications avec acc\u00e8s Bluetooth d’\u00e9couter les conversations avec Siri.<\/p>\n
Apple a d\u00e9clar\u00e9 qu'”une application pourrait \u00eatre capable d’enregistrer de l’audio \u00e0 l’aide d’une paire d’AirPod connect\u00e9s”, ajoutant qu’elle r\u00e9solvait le probl\u00e8me Core Bluetooth dans iOS 16.1 avec des droits am\u00e9lior\u00e9s.<\/p>\n
Le d\u00e9veloppeur d’applications Guilherme Rambo est cr\u00e9dit\u00e9 d’avoir d\u00e9couvert et signal\u00e9 le bogue en ao\u00fbt 2022. Le bogue, surnomm\u00e9 SiriSpy<\/strong>a re\u00e7u l’identifiant CVE-2022-32946.<\/p>\n “Toute application ayant acc\u00e8s au Bluetooth peut enregistrer vos conversations avec Siri et l’audio de la fonction de dict\u00e9e du clavier iOS lors de l’utilisation d’AirPods ou de casques Beats”, Rambo a dit<\/a> dans un \u00e9crit.<\/p>\n “Cela se produirait sans que l’application ne demande l’autorisation d’acc\u00e8s au microphone et sans que l’application ne laisse la moindre trace qu’elle \u00e9coutait le microphone.”<\/p>\n La vuln\u00e9rabilit\u00e9, selon Rambo, concerne un service appel\u00e9 DoAP qui est inclus dans les AirPods pour la prise en charge de Siri et Dictation, permettant ainsi \u00e0 un acteur malveillant de cr\u00e9er une application qui pourrait \u00eatre connect\u00e9e aux AirPods via Bluetooth et enregistrer l’audio en arri\u00e8re-plan.<\/p>\n Ceci est aggrav\u00e9 par le fait qu ‘”il n’y a pas de demande d’acc\u00e8s au microphone, et l’indication dans Control Center ne r\u00e9pertorie que” Siri & Dictation “, pas l’application qui contournait l’autorisation du microphone en parlant directement aux AirPod via Bluetooth LE.”<\/p>\n Bien que l’attaque n\u00e9cessite que l’application ait acc\u00e8s \u00e0 Bluetooth, cette restriction peut \u00eatre facilement contourn\u00e9e car les utilisateurs accordant un acc\u00e8s Bluetooth \u00e0 l’application ne s’attendent probablement pas \u00e0 ce que cela ouvre \u00e9galement la porte \u00e0 l’acc\u00e8s \u00e0 leurs conversations avec Siri et \u00e0 l’audio de la dict\u00e9e.<\/p>\n Sur macOS, cependant, l’exploit pourrait \u00eatre abus\u00e9 pour obtenir un contournement total de la transparence, du consentement et du contr\u00f4le (TCC<\/a>) cadre de s\u00e9curit\u00e9, ce qui signifie que n’importe quelle application peut enregistrer des conversations avec Siri sans demander d’autorisation en premier lieu.<\/p>\n Rambo a d\u00e9clar\u00e9 que la raison de ce comportement est due au manque de v\u00e9rification des droits pour BTLEServerAgent, le service d\u00e9mon responsable de la gestion de l’audio DoAP.<\/p>\n UN correctif logiciel<\/a> la correction de ce d\u00e9faut est disponible pour l’iPhone 8 et les versions ult\u00e9rieures, l’iPad Pro (tous les mod\u00e8les), l’iPad Air de 3e g\u00e9n\u00e9ration et les versions ult\u00e9rieures, l’iPad de 5e g\u00e9n\u00e9ration et les versions ult\u00e9rieures et l’iPad mini de 5e g\u00e9n\u00e9ration et les versions ult\u00e9rieures. Il a \u00e9galement \u00e9t\u00e9 r\u00e9solu dans tous versions prises en charge<\/a> de macOS.<\/p>\n La mise \u00e0 jour iOS 16.1, qui a \u00e9t\u00e9 publi\u00e9e le 24 octobre 2022, comprend des correctifs pour un total de 20 failles, y compris une vuln\u00e9rabilit\u00e9 du noyau (CVE-2022-42827) qu’elle a r\u00e9v\u00e9l\u00e9e comme \u00e9tant activement exploit\u00e9e dans la nature.<\/p>\n <\/p>\n<\/div>\n![\"Apple](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666870465_496_Apple-iOS-et-macOS-Flaw-auraient-pu-laisser-les-applications.jpg\" "\\"Apple")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n