Apple a publié un correctif pour une faille de sécurité dangereuse qui aurait pu permettre aux acteurs de la menace de prendre complètement le contrôle des anciennes versions de l’iPhone et de l’iPad.
La faille était apparemment utilisée dans la nature, mais Apple ne partage aucun détail sur les incidents exacts jusqu’à ce que la majorité des points de terminaison (s’ouvre dans un nouvel onglet) appliquer le patch.
Le correctif corrige une vulnérabilité de confusion dans le Webkit Web d’Apple le navigateur moteur. Il est suivi en tant que CVE-2022-42856 et permet aux pirates d’exécuter du code arbitraire sur les appareils cibles qui, en théorie, pourrait également leur donner accès à l’ensemble de l’appareil. Il a reçu un score de gravité de 8,8 – “élevé”.
Exploitation active
Fin 2022, Apple l’a corrigé pour Safari 16.2, tvOS 16.2, macOS Ventura 13.1, iOS 15.7.2 et iPadOS 15.7.2, iOS 16.1.2. Désormais, il a étendu la portée du correctif à un ensemble plus large de séries d’appareils vulnérables, notamment l’iPhone 5s, l’iPhone 6, l’iPhone 6 Plus, l’iPad Air, l’iPad mini 2, l’iPad mini 3 et l’iPod touch (6e génération).
Apple dit qu’il y a des rapports selon lesquels la faille est “activement exploitée” dans la nature, mais ne veut pas partager de détails car cela pourrait inciter davantage d’acteurs malveillants à essayer d’en abuser. Les médias disent que le CVE est très probablement utilisé uniquement dans des «attaques ciblées», mais cela ne signifie pas que les consommateurs réguliers ne devraient pas se précipiter pour appliquer le correctif.
Le correctif fait partie d’un événement de correction plus large, dans lequel Apple a corrigé des dizaines de failles de sécurité trouvées à la fois dans son navigateur Web Safari et dans les dernières itérations des appareils macOS, iOS et watchOS. Cependant, il semble que le CVE-2022-42856 soit la seule vulnérabilité fixe activement exploitée dans la nature.
Nous nous attendons à ce qu’Apple publie les détails sur la façon dont les escrocs ont profité de la faille, et si des logiciels malveillants, des voleurs d’informations ou des chevaux de Troie ont été inclus.
Via: BipOrdinateur (s’ouvre dans un nouvel onglet)