Apple a d\u00e9ploy\u00e9 lundi des mises \u00e0 jour de s\u00e9curit\u00e9 pour iOS, iPadOS<\/a>, macOS<\/a>et Safari<\/a> pour corriger une faille zero-day qui, selon elle, a \u00e9t\u00e9 activement exploit\u00e9e dans la nature.<\/p>\n Suivi comme CVE-2023-23529<\/strong>le probl\u00e8me concerne un bogue de confusion de type dans le moteur de navigateur WebKit qui pourrait \u00eatre activ\u00e9 lors du traitement de contenu Web con\u00e7u de mani\u00e8re malveillante, aboutissant \u00e0 l’ex\u00e9cution de code arbitraire.<\/p>\n Le fabricant d’iPhone a d\u00e9clar\u00e9 que le bogue avait \u00e9t\u00e9 r\u00e9solu par des v\u00e9rifications am\u00e9lior\u00e9es, ajoutant qu’il \u00e9tait “au courant d’un rapport selon lequel ce probl\u00e8me pourrait avoir \u00e9t\u00e9 activement exploit\u00e9”. Un chercheur anonyme a \u00e9t\u00e9 cr\u00e9dit\u00e9 d’avoir signal\u00e9 la faille.<\/p>\n On ne sait pas imm\u00e9diatement comment la vuln\u00e9rabilit\u00e9 est exploit\u00e9e dans les attaques du monde r\u00e9el, mais c’est la deuxi\u00e8me faille de confusion de type activement abus\u00e9e dans WebKit \u00e0 \u00eatre corrig\u00e9e par Apple apr\u00e8s CVE-2022-42856 en autant de mois, qui a \u00e9t\u00e9 ferm\u00e9 en d\u00e9cembre 2022. <\/p>\n Les failles de WebKit se distinguent \u00e9galement par le fait qu’elles affectent tous les navigateurs Web tiers disponibles pour iOS et iPadOS en raison des restrictions d’Apple qui obligent les fournisseurs de navigateurs \u00e0 utiliser le m\u00eame cadre de rendu.<\/p>\n La soci\u00e9t\u00e9 a \u00e9galement r\u00e9solu un probl\u00e8me d’utilisation apr\u00e8s lib\u00e9ration dans le noyau (CVE-2023-23514) qui pourrait permettre \u00e0 une application malveillante d’ex\u00e9cuter du code arbitraire avec les privil\u00e8ges les plus \u00e9lev\u00e9s.<\/p>\n Xinru Chi de Pangu Lab et Ned Williamson de Google Project Zero sont cr\u00e9dit\u00e9s d’avoir signal\u00e9 le probl\u00e8me. Apple a d\u00e9clar\u00e9 avoir r\u00e9solu la vuln\u00e9rabilit\u00e9 gr\u00e2ce \u00e0 une meilleure gestion de la m\u00e9moire.<\/p>\n S\u00e9par\u00e9ment, la derni\u00e8re mise \u00e0 jour de macOS corrige \u00e9galement un d\u00e9faut de confidentialit\u00e9 dans les raccourcis dont une application contenant des logiciels malveillants peut tirer parti pour “observer les donn\u00e9es utilisateur non prot\u00e9g\u00e9es”. Le probl\u00e8me, a not\u00e9 Apple, a \u00e9t\u00e9 r\u00e9solu gr\u00e2ce \u00e0 une meilleure gestion des fichiers temporaires.<\/p>\n Il est conseill\u00e9 aux utilisateurs de mettre \u00e0 jour vers iOS 16.3.1, iPadOS 16.3.1, macOS Ventura 13.2.1 et Safari 16.3.1 pour att\u00e9nuer les risques potentiels. Les mises \u00e0 jour sont disponibles pour les appareils suivants –<\/p>\n Apple a corrig\u00e9 un total de 10 jours z\u00e9ro couvrant son logiciel en 2022, dont neuf ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s comme activement exploit\u00e9s par des acteurs de la menace. Quatre de ces failles ont \u00e9t\u00e9 d\u00e9couvertes dans WebKit.<\/p>\n <\/p>\n\n