Apple corrige les failles de sécurité du noyau 0-day et de WebKit dans iOS, macOS, watchOS, etc. Ars Technica

Apple a publié de nouvelles mises à jour mineures pour iOS 16, macOS 13 Ventura et la plupart de ses autres systèmes d’exploitation activement pris en charge qui corrigent une paire de bogues de sécurité graves qui, selon la société, « pourraient avoir été activement exploités ». Vous devez installer les mises à jour iOS et iPadOS 16.5.1, macOS 13.4.1 et watchOS 9.5.2 dès que possible, si vous ne l’avez pas déjà fait.

L’une des vulnérabilités, CVE-2023-32434, est une faille au niveau du noyau qui peut permettre aux applications « d’exécuter du code arbitraire avec les privilèges du noyau ». L’autre, un bogue WebKit étiqueté CVE-2023-32439, peut permettre l’exécution de code arbitraire après le traitement de « contenu Web conçu de manière malveillante ».

Les mises à jour iOS et iPadOS 16.5.1 corrigent également un bogue non lié à la sécurité « qui empêche le chargement avec l’adaptateur de caméra Lightning vers USB 3 ».

Les mises à jour ne concernent pas seulement les iPhones, iPads et Mac exécutant les derniers systèmes d’exploitation. Des mises à jour corrigeant les mêmes bogues ont été publiées pour iOS et iPadOS 15, ainsi que les versions macOS 11 et 12 (via les mises à jour macOS et Safari). Apple a également publié une mise à jour corrigeant le bogue du noyau pour watchOS 8, qui était la dernière version du système d’exploitation prenant en charge l’Apple Watch Series 3 (ainsi que des montres plus récentes couplées à des iPhones plus anciens qui ne peuvent pas être mis à jour vers iOS 16). Les mises à jour pour les anciennes versions de watchOS sont extrêmement rares, ce qui met en évidence la gravité de toute faille de sécurité au niveau du noyau.

Les mises à jour iOS et iPadOS 15.7.7 corrigent également un troisième bogue WebKit étroitement lié qui permet l’exécution de code à distance lors du traitement de contenu Web, CVE-2023-32435.

Apple a introduit une nouvelle fonctionnalité appelée Rapid Security Response dans iOS 16 et macOS 13 qui permet de corriger plus rapidement certains bogues de sécurité, et la société a publié ses premières mises à jour Rapid Security Response le mois dernier. Les failles WebKit corrigées aujourd’hui peuvent avoir été corrigées à l’aide du mécanisme Rapid Security Response, mais les failles de sécurité au niveau du noyau nécessiteront toujours des mises à jour standard du système d’exploitation.

Apple teste actuellement les prochaines versions majeures de tous ses systèmes d’exploitation, y compris macOS 14 Sonoma et iOS 17. La société a publié hier les deuxièmes versions bêta de ces systèmes d’exploitation aux développeurs et devrait publier des versions bêta publiques en juillet. En attendant, les non-développeurs qui veulent risquer d’exécuter des logiciels bêta sur du matériel pour les tester peuvent installer les bêtas de développeur cette année sans payer les 99 $ typiques pour un compte de développeur.