À propos des correctifs de sécurité d’iOS 16

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les mises à jour récentes sont répertoriées à la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

Publié le 12 septembre 2022

Accelerate Framework

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.

Description : un problème de consommation de mémoire a été résolu par une meilleure gestion de cette dernière.

CVE-2022-42795 : ryuzaki

Entrée ajoutée le 27 octobre 2022

AppleAVD

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être à l’origine d’un déni de service.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2022-32827 : Antonio Zekic (@antoniozekic), Natalie Silvanovich de Google Project Zero et un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

AppleAVD

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2022-32907 : Natalie Silvanovich de Google Project Zero, Antonio Zekic (@antoniozekic) et John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)

Entrée ajoutée le 27 octobre 2022

AppleMobileFileIntegrity

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de configuration a été résolu par des restrictions supplémentaires.

CVE-2022-32877 : Wojciech Reguła (@_r3ggi) de SecuRing

Entrée ajoutée le 16 mars 2023

Apple Neural Engine

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de divulguer des données sensibles relativement à l’état du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32858 : Mohamed Ghannam (@_simo36)

Entrée ajoutée le 27 octobre 2022

Apple Neural Engine

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32898 : Mohamed Ghannam (@_simo36)

CVE-2022-32899 : Mohamed Ghannam (@_simo36)

CVE-2022-32899 : Mohamed Ghannam (@_simo36)

Entrée ajoutée le 27 octobre 2022

Apple TV

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2022-32909 : Csaba Fitzl (@theevilbit) d’Offensive Security

Entrée ajoutée le 27 octobre 2022

Contacts

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de contourner les préférences en matière de confidentialité.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2022-32854 : Holger Fuhrmannek de Deutsche Telekom Security

Crash Reporter

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur bénéficiant d’un accès physique à un appareil iOS peut être en mesure de lire d’anciens journaux de diagnostic.

Description : ce problème a été résolu par une meilleure protection des données.

CVE-2022-32867 : Kshitij Kumar et Jai Musunuri de Crowdstrike

Entrée ajoutée le 27 octobre 2022

DriverKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32865 : Linus Henze de Pinauten GmbH (pinauten.de)

Entrée ajoutée le 27 octobre 2022

Exchange

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur bénéficiant d’une position privilégiée sur le réseau peut intercepter les authentifiants de messagerie.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2022-32928 : Jiří Vinopal (@vinopaljiri) de Check point Research

Entrée ajoutée le 27 octobre 2022 ajoutée, mise à jour le 16 mars 2023

FaceTime

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur peut envoyer un extrait audio ou une vidéo lors d’un appel FaceTime sans s’en rendre compte.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2022-22643 : Sonali Luthar de l’Université de Virginie, Michael Liao de l’Université de l’Illinois à Urbana-Champaign, Rohan Pahwa de l’Université Rutgers et Bao Nguyen de l’Université de Floride

Entrée ajoutée le 16 mars 2023

GPU Drivers

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de divulguer la mémoire du noyau.

Description : plusieurs problèmes d’écriture hors limites ont été résolus par une meilleure vérification des limites.

CVE-2022-32793 : un chercheur anonyme

Entrée ajoutée le 16 mars 2023

GPU Drivers

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2022-26744 : un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

GPU Drivers

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32903 : un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

ImageIO

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le traitement d’une image peut entraîner un déni de service.

Description : un problème de déni de service a été résolu par une meilleure validation.

CVE-2022-1622

Entrée ajoutée le 27 octobre 2022

Image Processing

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app en mode bac à sable peut être en mesure de déterminer quelle app utilise actuellement la caméra.

Description : ce problème a été résolu par des restrictions supplémentaires concernant l’observabilité des états de l’app.

CVE-2022-32913 : Yiğit Can YILMAZ (@yilmazcanyigit)

Entrée ajoutée le 27 octobre 2022

IOGPUFamily

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32887 : un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

Kernel

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de divulguer la mémoire du noyau.

Description : un problème de lecture hors limites entraînait la divulgation de la mémoire du noyau. Ce problème a été résolu grâce à une meilleure validation des entrées.

CVE-2022-32916 : Pan ZhenPeng de STAR Labs SG Pte. Ltd.

Entrée ajoutée le 9 novembre 2022

Kernel

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32914 : Zweig de Kunlun Lab

Entrée ajoutée le 27 octobre 2022

Kernel

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32866 : Linus Henze de Pinauten GmbH (pinauten.de)

CVE-2022-32911 : Zweig de Kunlun Lab

Entrée mise à jour le 27 octobre 2022

Kernel

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de divulguer la mémoire du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2022-32864 : Linus Henze de Pinauten GmbH (pinauten.de)

Kernel

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2022-32917 : un chercheur anonyme 

Maps

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2022-32883 : Ron Masas, breakpointhq.com

MediaLibrary

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur peut être en mesure d’augmenter ses privilèges.

Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.

CVE-2022-32908 : un chercheur anonyme

Notifications

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur bénéficiant d’un accès physique à un appareil peut être en mesure d’accéder aux contacts par l’écran de verrouillage.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2022-32879 : Ubeydullah Sümer

Entrée ajoutée le 27 octobre 2022

Photos

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de contourner les préférences en matière de confidentialité.

Description : ce problème a été résolu par une meilleure protection des données.

CVE-2022-32918 : Ashwani Rajput de Nagarro Software Pvt. Ltd, Srijan Shivam Mishra de The Hack Report, Jugal Goradia d’Astha Technologies, Evan Ricafort (evanricafort.com) de Invalid Web Security, Shesha Sai C (linkedin.com/in/shesha-sai-c-18585b125), Amod Raghunath Patwardhan de Pune, Inde

Entrée ajoutée le 27 octobre 2022 ajoutée, mise à jour le 16 mars 2023

Safari

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de la barre d’adresse.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2022-32795 : Narendra Bhati de Suma Soft Pvt. Ltd. Pune (Inde) @imnarendrabhati

Safari Extensions

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un site web peut être en mesure de suivre les utilisateurs grâce aux extensions web de Safari.

Description : un problème de logique a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 242278
CVE-2022-32868 : Michael

Sandbox

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de modifier des sections protégées du système de fichiers.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2022-32881 : Csaba Fitzl (@theevilbit) de Offensive Security

Entrée ajoutée le 27 octobre 2022

Security

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de contourner les vérifications de signature de code.

Description : un problème de validation des signatures de codes a été réglé au moyen de vérifications améliorées.

CVE-2022-42793 : Linus Henze de Pinauten GmbH (pinauten.de)

Entrée ajoutée le 27 octobre 2022

Shortcuts

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une personne bénéficiant d’un accès physique à un appareil iOS peut être en mesure d’accéder aux photos par l’écran de verrouillage.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2022-32872 : Elite Tech Guru

Sidecar

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur peut être en mesure d’afficher du contenu restreint à partir de l’écran de verrouillage.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2022-42790 : Om kothawade de Zaprico Digital

Entrée ajoutée le 27 octobre 2022

Siri

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur bénéficiant d’un accès physique à un appareil peut être en mesure d’utiliser Siri pour obtenir certaines informations privées relatives au calendrier.

Description : un problème de logique a été résolu par de meilleures restrictions.

CVE-2022-32871 : Amit Prajapat de Payatu Security Consulting Private Limited

Entrée ajoutée le 16 mars 2023

Siri

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur bénéficiant d’un accès physique à un appareil peut être en mesure d’utiliser Siri pour obtenir certaines informations relatives à l’historique des appels.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2022-32870 : Andrew Goldberg de l’École de commerce McCombs, l’Université du Texas à Austin (linkedin.com/andrew-goldberg-/)

Entrée ajoutée le 27 octobre 2022

Software Update

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème de concurrence a été résolu par une meilleure gestion des états.

CVE-2022-42791 : Mickey Jin (@patch1t) de Trend Micro

Entrée ajoutée le 9 novembre 2022

SQLite

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur distant peut être à l’origine d’un déni de service.

Description : ce problème a été résolu par l’application de meilleures vérifications.

CVE-2021-36690

Entrée ajoutée le 27 octobre 2022

Time Zone

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : des contacts supprimés peuvent continuer de s’afficher dans les résultats de recherche de Spotlight.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2022-32859

Entrée ajoutée le 27 octobre 2022

Watch app

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de lire un identifiant d’appareil persistant.

Description : ce problème a été résolu par l’application d’autorisations améliorées.

CVE-2022-32946 : Guilherme Rambo de Best Buddy Apps (rambo.codes)

Entrée ajoutée le 27 octobre 2022

Weather

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : un problème de logique a été résolu par une meilleure gestion des états.

CVE-2022-32875 : un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

WebKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un utilisateur non autorisé peut avoir accès à l’historique de navigation.

Description : les chemins d’accès aux fichiers utilisés pour stocker les données du site web comportaient un problème. Le problème a été résolu en améliorant la façon dont les données du site web sont stockées.

CVE-2022-32833 : Csaba Fitzl (@theevilbit) d’Offensive Security, Jeff Johnson

Entrée ajoutée le 9 novembre 2022

WebKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.

WebKit Bugzilla : 242047
CVE-2022-32888 : P1umer (@p1umer)

Entrée ajoutée le 27 octobre 2022

WebKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le fait de consulter un site web présentant du contenu malveillant peut entraîner une utilisation détournée de l’interface utilisateur.

Description : ce problème a été résolu par une meilleure gestion de l’interface utilisateur.

WebKit Bugzilla : 243236
CVE-2022-32891 : @real_as3617 et un chercheur anonyme

Entrée ajoutée le 27 octobre 2022

WebKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 241969
CVE-2022-32886 : P1umer, afang5472, xmzyshypnc

WebKit

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.

Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.

WebKit Bugzilla : 242762
CVE-2022-32912 : Jeonghoon Shin (@singi21a) de Theori en collaboration avec Trend Micro Zero Day Initiative

WebKit Sandboxing

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : un processus en mode bac à sable peut être en mesure de contourner les restrictions de bac à sable.

Description : ce problème d’accès a été résolu par des améliorations apportées au bac à sable.

WebKit Bugzilla : 243181
CVE-2022-32892 : @18楼梦想改造家 et @jq0904 du WeBin lab de DBAppSecurity

Entrée ajoutée le 27 octobre 2022

Wi-Fi

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.

CVE-2022-46709 : Wang Yu de Cyberserval

Entrée ajoutée le 16 mars 2023

Wi-Fi

Disponible pour iPhone 8 et les modèles ultérieurs

Conséquence : une app peut être en mesure d’entraîner l’arrêt inopiné du système ou l’écriture de contenu dans la mémoire du noyau.

Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.

CVE-2022-32925 : Wang Yu de Cyberserval

Entrée ajoutée le 27 octobre 2022

AirDrop

Nous tenons à remercier Alexander Heinrich, Milan Stute et Christian Weinert de l’Université technique de Darmstadt pour leur aide.

Entrée ajoutée le 27 octobre 2022

AppleCredentialManager

Nous tenons à remercier @jonathandata1 pour son aide.

Entrée ajoutée le 27 octobre 2022

Calendar UI

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology pour son aide.

Entrée ajoutée le 27 octobre 2022

CoreGraphics

Nous tenons à remercier Simon de Vegt pour son aide.

Entrée ajoutée le 9 novembre 2022

FaceTime

Nous tenons à remercier un chercheur anonyme pour son aide.

Entrée ajoutée le 27 octobre 2022

Find My

Nous tenons à remercier un chercheur anonyme pour son aide.

Entrée ajoutée le 27 octobre 2022

Game Center

Nous aimerions remercier Joshua Jones pour son aide.

iCloud

Nous tenons à remercier Bülent Aytulun ainsi qu’un chercheur anonyme pour leur aide.

Entrée ajoutée le 27 octobre 2022

Identity Services

Nous aimerions remercier Joshua Jones pour son aide.

Kernel

Nous tenons à remercier Pan ZhenPeng (@Peterpan0927), Tingting Yin de l’Université de Tsinghua, Min Zheng d’Ant Group, et un chercheur anonyme pour leur aide.

Entrée ajoutée le 27 octobre 2022

Mail

Nous tenons à remercier un chercheur anonyme pour son aide.

Entrée ajoutée le 27 octobre 2022

Notes

Nous tenons à remercier Edward Riley d’Iron Cloud Limited (ironclouduk.com) pour son aide.

Entrée ajoutée le 27 octobre 2022

Photo Booth

Nous tenons à remercier Prashanth Kannan de Dremio pour son aide.

Entrée ajoutée le 27 octobre 2022

Safari

Nous tenons à remercier Scott Hatfield de Sub-Zero Group pour son aide.

Entrée ajoutée le 16 mars 2023

Sandbox

Nous tenons à remercier Csaba Fitzl (@theevilbit) d’Offensive Security pour son aide.

Entrée ajoutée le 27 octobre 2022

Shortcuts

Nous tenons à remercier Shay Dror pour son aide.

Entrée ajoutée le 27 octobre 2022

SOS

Nous tenons à remercier Xianfeng Lu et Lei Ai d’OPPO Amber Security Lab pour leur aide.

Entrée ajoutée le 27 octobre 2022

UIKit

Nous tenons à remercier Aleczander Ewing, Simon de Vegt et un chercheur anonyme pour leur aide.

Entrée ajoutée le 27 octobre 2022

WebKit

Nous tenons à remercier un chercheur anonyme pour son aide.

Entrée ajoutée le 27 octobre 2022

WebRTC

Nous tenons à remercier un chercheur anonyme pour son aide.

Entrée ajoutée le 27 octobre 2022