Apple publie des correctifs pour les vulnérabilités dans iOS, macOS et Safari

Selon The Hacker News , la nouvelle mise à jour d'Apple a corrigé deux vulnérabilités Zero-Day qui étaient utilisées dans la campagne de surveillance mobile Operation Triangulation depuis 2019. On ne sait pas quelle organisation est derrière cette campagne.

Apple a déclaré que ces deux vulnérabilités (CVE-2023-32434 et CVE-2023-32435) pourraient avoir été activement exploitées sur des versions antérieures à iOS 15.7, notant que trois chercheurs de Kaspersky, Georgy Kucherin, Leonid Bezvershenko et Boris Larin, les ont signalées.

Des fournisseurs de cybersécurité russes ont décortiqué un logiciel espion utilisé dans une campagne d'attaque zéro clic qui ciblait les appareils iOS via des iMessages avec des pièces jointes exploitant une vulnérabilité d'exécution de code à distance (RCE).

L'exploit est conçu pour télécharger des composants supplémentaires afin d'obtenir des privilèges root sur l'appareil, puis déployer une porte dérobée mémoire et supprimer les iMessages pour supprimer les traces d'infection.

L'implant, appelé TriangleDB, ne laisse aucune trace après le redémarrage de l'appareil. Il est capable de collecter et de suivre diverses données. TriangleDB peut interagir avec le système de fichiers de l'appareil (créer, modifier, extraire et supprimer), gérer les processus, extraire des entrées pour collecter les identifiants de connexion et surveiller la géolocalisation de la victime.

Apple phát hành bản vá lỗ hổng Zero-Day trong iOS, macOS và Safari - Ảnh 1. — Une nouvelle mise à jour corrige 9 vulnérabilités zero-day dans les produits Apple

Kaspersky a également publié un utilitaire appelé « triangle_check » que les organisations peuvent utiliser pour analyser les sauvegardes des appareils iOS et rechercher des signes de compromission sur leurs appareils.

Apple a également corrigé un troisième Zero-Day, CVE-2023-32439, qui a été signalé de manière anonyme, exploitant le bug pour permettre aux pirates d'exécuter du code arbitraire lorsque le navigateur accède à du contenu Web malveillant.

Des mises à jour sont disponibles pour les plateformes iOS/iPadOS 16.5.1 pour iPhone 8 et versions ultérieures, iPad Pro, iPad Air 3, iPad 5e génération et iPad mini 5e génération et versions ultérieures. Les modèles plus anciens tels que l'iPhone SE, l'iPhone 6s, l'iPod Touch 7e génération et l'iPad Air 2 sont également mis à jour vers iOS 15.7.7 et iPadOS 15.7.7.

Concernant les appareils connectés, Apple a publié watchOS 9.5.2 pour les Series 4 et versions ultérieures, ainsi que watchOS 8.1.1 pour les Apple Watch Series 3 et SE. Safari a également été mis à jour vers la version 16.5.1 sur macOS Monterey.

Avec la dernière mise à jour, Apple a corrigé un total de neuf vulnérabilités Zero-Day dans ses produits depuis le début de l'année.

Lien source