À propos des correctifs de sécurité d’iOS 17.1 et d’iPadOS 17.1

Ce document décrit les correctifs de sécurité d’iOS 17.1 et d’iPadOS 17.1.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’abstient de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou des mises à jour ne sont pas offerts. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 17.1 et iPadOS 17.1

Publié le 25 octobre 2023

Automation

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 12,9 po (2e génération et modèles ultérieurs), iPad Pro 10,5 po, iPad Pro 11 po (1re génération et modèles ultérieurs), iPad Air (3e génération et modèles ultérieurs), iPad (6e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app avec des privilèges racines peut être en mesure d’accéder à des informations confidentielles.

Description : ce problème a été résolu par de meilleures vérifications.

CVE-2023-42952 : Zhipeng Huo (@R3dF09) de Tencent Security Xuanwu Lab (xlab.tencent.com)

Entrée ajoutée le 16 février 2024

Contacts

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-41072 : Wojciech Regula de SecuRing (wojciechregula.blog) et Csaba Fitzl (@theevilbit) d’Offensive Security

CVE-2023-42857 : Noah Roskin-Frazee et le professeur J. (ZeroClicks.ai Lab)

CoreAnimation

Conséquence : une app peut être à l’origine d’un déni de service.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40449 : Tokics Tomi (@tomitokics) d’iTomsn0w

Core Recents

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : le problème a été résolu en assainissant la connexion

CVE-2023-42823

Entrée ajoutée le 16 février 2024

FairPlay

Conséquence : une app peut être en mesure d’accéder à des privilèges élevés.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42928 : Peter Nguyễn Vũ Hoàng (@peternguyen14) de STAR Labs SG Pte. Ltd.

Entrée ajoutée le 16 février 2024

Find My

Conséquence : une app peut être en mesure de lire des informations d’emplacement confidentielles.

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-40413 : Adam M.

Find My

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème de confidentialité a été résolu avec une meilleure gestion des dossiers.

CVE-2023-42834 : Csaba Fitzl (@theevilbit) de Offensive Security

Entrée ajoutée le 16 février 2024

Game Center

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur.

Description : un problème d’autorisations a été résolu grâce à des restrictions supplémentaires.

CVE-2023-42953 : Michael (Biscuit) Thomas - @biscuit@social.lol

Entrée ajoutée le 16 février 2024

ImageIO

Conséquence : le traitement d’une image peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40416 : JZ

ImageIO

Conséquence : le traitement d’une image malveillante peut entraîner une corruption de tas.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42848 : JZ

Entrée ajoutée le 16 février 2024

IOTextEncryptionFamily

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40423 : un chercheur anonyme

Kernel

Conséquence : un attaquant ayant déjà réussi à exécuter le code du noyau peut être en mesure de contourner les limitations de la mémoire du noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42849 : Linus Henze de Pinauten GmbH (pinauten.de)

libc

Conséquence : le traitement d’une entrée malveillante peut entraîner l’exécution arbitraire de code dans des apps installées par l’utilisateur.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40446 : inooo

Entrée ajoutée le 3 novembre 2023

libxpc

Conséquence : une app malveillante peut être en mesure de bénéficier de privilèges racines

Description : ce problème a été résolu par une meilleure gestion des liens symboliques.

CVE-2023-42942 : Mickey Jin (@patch1t)

Entrée ajoutée le 16 février 2024

Mail Drafts

Conséquence : la fonctionnalité Masquer mon adresse courriel peut être désactivée inopinément.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2023-40408 : Grzegorz Riegel

mDNSResponder

Conséquence : un périphérique pouvait faire l’objet d’un suivi passif via son adresse MAC Wi-Fi.

Description : le problème a été résolu par la suppression du code vulnérable.

CVE-2023-42846 : Talal Haj Bakry et Tommy Mysk de Mysk Inc. @mysk_co

Passkeys

Conséquence : un attaquant peut être en mesure d’accéder aux clés d’identification sans authentification.

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42847 : un chercheur anonyme

Photos

Conséquence : les photos de l’album photo Masquées peuvent être affichées sans authentification.

Description : un problème d’authentification a été résolu grâce à une meilleure gestion des états.

CVE-2023-42845 : Bistrit Dahal

Entrée ajoutée le 16 février 2024

Pro Res

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42841 : Mingxuan Yang (@PPPF00L), happybabywu et Guang Gong du 360 Vulnerability Research Institute

Pro Res

Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2023-42873 : Mingxuan Yang (@PPPF00L), et happybabywu et Guang Gong de 360 Vulnerability Research Institute

Entrée ajoutée le 16 février 2024

Safari

Conséquence : un utilisateur peut ne pas être en mesure de supprimer les éléments de l’historique de navigation

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-42951 : Adis Alic

Entrée ajoutée le 16 février 2024

Sandbox

Conséquence : un attaquant peut être en mesure d'accéder aux volumes de réseau montés dans le répertoire de départ

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42836 : Yiğit Can YILMAZ (@yilmazcanyigit)

Entrée ajoutée le 16 février 2024

Sandbox

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2023-42839 : Yiğit Can YILMAZ (@yilmazcanyigit)

Entrée ajoutée le 16 février 2024

Setup Assistant

Conséquence : un attaquant disposant d'un accès physique peut être en mesure de subsister silencieusement dans un identifiant Apple sur un appareil effacé.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2023-42855 : Sam Lakmaker

Entrée ajoutée le 16 février 2024

Share Sheet

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-42878 : Kirin (@Pwnrin), Wojciech Regula de SecuRing (wojciechregula.blog), et Cristian Dinca de "Tudor Vianu" National High School of Computer Science, Roumanie

Entrée ajoutée le 16 février 2024

Siri

Conséquence : un attaquant qui dispose d’un accès physique peut être en mesure d’utiliser Siri pour accéder aux données sensibles des utilisateurs.

Description : ce problème a été résolu en limitant les options proposées sur un appareil verrouillé.

CVE-2023-41982 : Bistrit Dahal

CVE-2023-41997 : Bistrit Dahal

CVE-2023-41988 : Bistrit Dahal

Entrée ajoutée le 16 février 2024

Siri

Conséquence : une app peut être en mesure de divulguer les renseignements sensibles de l’utilisateur.

Description : ce problème a été résolu par une amélioration de la rédaction des renseignements confidentiels.

CVE-2023-42946

Entrée ajoutée le 16 février 2024

Status Bar

Conséquence : un appareil peut refuser systématiquement de se verrouiller.

Description : ce problème a été résolu par une meilleure gestion de l’interface utilisateur.

CVE-2023-40445 : Ting Ding, James Mancz, Omar Shibli, un chercheur anonyme, Lorenzo Cavallaro et Harry Lewandowski

Weather

Conséquence : une app peut être en mesure d’accéder aux données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu grâce à l’amélioration de la définition des données personnelles pour la saisie.

CVE-2023-41254 : Cristian Dinca de l’École secondaire nationale d’informatique Tudor Vianu, Roumanie

WebKit

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 259836
CVE-2023-40447 : 이준성 (Junsung Lee) de Cross Republic

WebKit

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 259890
CVE-2023-41976 : 이준성(Junsung Lee)

WebKit

Conséquence : le traitement du contenu web peut entraîner l’exécution de code arbitraire.

Description : un problème de logique a été résolu par de meilleures vérifications.

WebKit Bugzilla : 260173
CVE-2023-42852 : Pedro Ribeiro (@pedrib1337) et Vitor Pedreira (@0xvhp_) de Agile Information Security

Entrée ajoutée le 16 février 2024

WebKit

Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de la barre d’adresse.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

WebKit Bugzilla : 260046
CVE-2023-42843 : Kacper Kwapisz (@KKKas_)

Entrée ajoutée le 16 février 2024

WebKit

Conséquence : l’activité de navigation privée d’un utilisateur peut être enregistrée de façon inopinée dans le rapport de confidentialité des apps

Description : un problème de logique a été résolu par de meilleures vérifications.

CVE-2023-42939 : Abhay Kailasia (@abhay_kailasia) de Lakshmi Narain College Of Technology Bhopal India

Entrée ajoutée le 16 février 2024

WebKit Process Model

Conséquence : le traitement d’un contenu Web peut entraîner un déni de service.

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 260757
CVE-2023-41983 : 이준성(Junsung Lee)

Remerciements supplémentaires

libarchive

Nous tenons à remercier Bahaa Naamneh pour son aide.

libxml2

Nous tenons à remercier OSS-Fuzz et Ned Williamson de Project Zero de Google pour leur aide.

Power Manager

Nous tenons à remercier Xia0o0o0o (@ Nyaaaaa_ovo) de l’Université de Californie à San Diego pour son aide.

ReplayKit

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology pour son aide.

Entrée ajoutée le 16 février 2024

VoiceOver

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology de Bhopal en Inde pour son aide.

WebKit

Nous tenons à remercier un chercheur anonyme pour son aide.

WebKit

Nous tenons à remercier Gishan Don Ranasinghe et un chercheur anonyme pour leur aide.

Entrée ajoutée le 16 février 2024

WidgetKit

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology de Bhopal en Inde pour son aide.

Entrée ajoutée le 16 février 2024

Les renseignements sur les produits qui ne sont pas fabriqués par Apple ou sur les sites Web indépendants qui ne sont pas gérés ou vérifiés par Apple sont fournis sans recommandation ni approbation de la part d’Apple. Apple se dégage de toute responsabilité quant à la sélection, au bon fonctionnement ou à l’utilisation de sites Web ou de produits de tiers. Apple ne fait aucune déclaration et n’offre aucune garantie quant à l’exactitude ou à la fiabilité de ces sites Web de tiers. Communiquez avec le vendeur pour de plus amples renseignements.

Date de publication: février 27, 2024

À propos des correctifs de sécurité d’iOS 17.1 et d’iPadOS 17.1

À propos des mises à jour de sécurité Apple

iOS 17.1 et iPadOS 17.1

Remerciements supplémentaires

Lancer une discussion dans les communautés d’assistance Apple