À propos des correctifs de sécurité d’iOS 17.1 et d’iPadOS 17.1

Ce document décrit les correctifs de sécurité d’iOS 17.1 et d’iPadOS 17.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 17.1 et iPadOS 17.1

Automation

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app avec des privilèges racines peut être en mesure d’accéder à des informations confidentielles.

Description : ce problème a été résolu par de meilleures vérifications.

CVE-2023-42952 : Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Contacts

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-41072 : Wojciech Regula de SecuRing (wojciechregula.blog) et Csaba Fitzl (@theevilbit) d’Offensive Security

CVE-2023-42857 : Noah Roskin-Frazee et le professeur J. (ZeroClicks.ai Lab)

CoreAnimation

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être à l’origine d’un déni de service.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40449 : Tokics Tomi (@tomitokics) d’iTomsn0w

Core Recents

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : le problème a été résolu en assainissant la connexion

CVE-2023-42823

FairPlay

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder à des privilèges élevés.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42928 : Peter Nguyễn Vũ Hoàng (@peternguyen14) de STAR Labs SG Pte. Ltd.

Find My

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-40413 : Adam M.

Find My

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu avec une meilleure gestion des dossiers.

CVE-2023-42834 : Csaba Fitzl (@theevilbit) de Offensive Security

Game Center

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2023-42953 : Michael (Biscuit) Thomas - @biscuit@social.lol

ImageIO

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’une image peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40416 : JZ

ImageIO

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’une image malveillante peut entraîner une corruption de tas.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42848 : JZ

IOTextEncryptionFamily

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40423 : un chercheur anonyme

Kernel

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant ayant déjà réussi à exécuter le code du noyau peut être en mesure de contourner les limitations de la mémoire du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42849 : Linus Henze de Pinauten GmbH (pinauten.de)

libc

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’une entrée malveillante peut entraîner l’exécution arbitraire de code dans des apps installées par l’utilisateur.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40446 : inooo

libxpc

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app malveillante peut être en mesure de bénéficier de privilèges racines

Description : ce problème a été résolu par une meilleure gestion des liens symboliques.

CVE-2023-42942 : Mickey Jin (@patch1t)

Mail Drafts

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : la fonctionnalité Masquer mon adresse courriel peut être désactivée inopinément.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2023-40408 : Grzegorz Riegel

mDNSResponder

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un périphérique pouvait faire l’objet d’un suivi passif via son adresse MAC Wi-Fi.

Description : le problème a été résolu par la suppression du code vulnérable.

CVE-2023-42846 : Talal Haj Bakry et Tommy Mysk de Mysk Inc. @mysk_co

Passkeys

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant peut être en mesure d’accéder aux clés d’identification sans authentification.

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42847 : un chercheur anonyme

Photos

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : les photos de l’album photo Masquées peuvent être affichées sans authentification.

Description : un problème d’authentification a été résolu grâce à une meilleure gestion des états.

CVE-2023-42845 : Bistrit Dahal

Pro Res

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42841 : Mingxuan Yang (@PPPF00L), happybabywu et Guang Gong du 360 Vulnerability Research Institute

Pro Res

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42873 : Mingxuan Yang (@PPPF00L), et happybabywu et Guang Gong de 360 Vulnerability Research Institute

Safari

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un utilisateur peut ne pas être en mesure de supprimer les éléments de l’historique de navigation

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-42951 : Adis Alic

Sandbox

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant peut être en mesure d'accéder aux volumes de réseau montés dans le répertoire de départ

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42836 : Yiğit Can YILMAZ (@yilmazcanyigit)

Sandbox

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2023-42839 : Yiğit Can YILMAZ (@yilmazcanyigit)

Setup Assistant

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant disposant d'un accès physique peut être en mesure de subsister silencieusement dans un identifiant Apple sur un appareil effacé.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2023-42855 : Sam Lakmaker

Share Sheet

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-42878 : Kirin (@Pwnrin), Wojciech Regula de SecuRing (wojciechregula.blog), et Cristian Dinca de "Tudor Vianu" National High School of Computer Science, Roumanie

Siri

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant qui dispose d’un accès physique peut être en mesure d’utiliser Siri pour accéder aux données sensibles des utilisateurs.

Description : ce problème a été résolu en limitant les options proposées sur un appareil verrouillé.

CVE-2023-41982 : Bistrit Dahal

CVE-2023-41997 : Bistrit Dahal

CVE-2023-41988 : Bistrit Dahal

Siri

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure de divulguer les renseignements sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2023-42946

Status Bar

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un appareil peut refuser systématiquement de se verrouiller.

Description : ce problème a été résolu par une meilleure gestion de l’interface utilisateur.

CVE-2023-40445 : Ting Ding, James Mancz, Omar Shibli, un chercheur anonyme, Lorenzo Cavallaro et Harry Lewandowski

Weather

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-41254 : Cristian Dinca de l’École secondaire nationale d’informatique Tudor Vianu, Roumanie

WebKit

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40447 : 이준성 (Junsung Lee) de Cross Republic

WebKit

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2023-41976 : 이준성(Junsung Lee)

WebKit

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42852 : Pedro Ribeiro (@pedrib1337) et Vitor Pedreira (@0xvhp_) de Agile Information Security

WebKit

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de la barre d’adresse.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2023-42843 : Kacper Kwapisz (@KKKas_)

WebKit

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : l’activité de navigation privée d’un utilisateur peut être enregistrée de façon inopinée dans le rapport de confidentialité des apps

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42939 : Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College Of Technology Bhopal India

WebKit Process Model

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’un contenu Web peut entraîner un déni de service.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-41983 : 이준성(Junsung Lee)

Remerciements supplémentaires

libarchive

Nous tenons à remercier Bahaa Naamneh pour son aide.

libxml2

Nous tenons à remercier OSS-Fuzz et Ned Williamson de Project Zero de Google pour leur aide.

Power Manager

Nous tenons à remercier Xia0o0o0o (@ Nyaaaaa_ovo) de l’Université de Californie à San Diego pour son aide.

ReplayKit

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology pour son aide.

VoiceOver

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology de Bhopal en Inde pour son aide.

WebKit

Nous tenons à remercier un chercheur anonyme pour son aide.

WebKit

Nous tenons à remercier Gishan Don Ranasinghe et un chercheur anonyme pour leur aide.

WidgetKit

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology de Bhopal en Inde pour son aide.