Mise à jour surprise pour iOS avec une version iOS 14.8 qui se concentre uniquement sur la sécurité via la correction de deux vulnérabilités. Référencée CVE-2021-30860, l'une d'elles a été signalée par des chercheurs en cybersécurité de Citizen Lab de l'université de Toronto.
Hormis l'iPhone, cette même vulnérabilité est corrigée pour la tablette iPad, l'ordinateur Mac ainsi que la montre connectée Apple Watch avec des mises à jour iPadOS, macOS et watchOS idoines.
Dans son descriptif, Apple détaille brièvement le traitement d'un fichier PDF malveillant qui peut conduire à une exécution de code arbitraire et souligne un rapport selon lequel le problème a pu être activement exploité.
Un exploit pour le spyware Pegasus
Après l'analyse de l'iPhone d'un activiste saoudien infecté par le spyware Pegasus vendu par NSO Group, les chercheurs de Citizen Lab ont découvert un exploit 0-day (sans correctif disponible) et 0-click (aucune interaction de l'utilisateur) dans la messagerie iMessage d'Apple.
Baptisé FORCEDENTRY, cet exploit cible la bibliothèque CoreGraphics de rendu des images d'Apple. Il serait utilisé depuis au moins février 2021. Pour la charge utile, des fichiers avec l'extension .gif sont en réalité des fichiers PDF.
" Tous les iPhone dont la version d'iOS est antérieure à 14.8, tous les ordinateurs Mac dont la version du système d'exploitation est antérieure à macOS Big Sur 11.6, à la mise à jour de sécurité 2021-005 de Catalina et toutes les Apple Watch antérieures à watchOS 7.6.2 sont affectés par la vulnérabilité ", écrit The Citizen Lab qui exhorte à mettre à jour les appareils concernés sans tarder.
" Notre dernière découverte d'une autre 0-day d'Apple utilisée dans l'arsenal de NSO Group illustre une fois de plus que des entreprises comme NSO Group facilitent le despotisme en tant que service pour des agences de sécurité gouvernementales qui n'ont aucun compte à rendre. La réglementation de ce marché en pleine croissance, très rentable et nuisible, est désespérément nécessaire. "
Rappelons que NSO Group assure que sa technologie a pour but d'aider les agences gouvernementales de renseignement et autorités habilitées à lutter contre le terrorisme et les crimes graves.
