À propos des correctifs de sécurité d’iOS 16.7.2 et d’iPadOS 16.7.2

Ce document décrit les correctifs de sécurité d’iOS 16.7.2 et d’iPadOS 16.7.2.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par identifiant CVE dans la mesure du possible.

Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 16.7.2 et iPadOS 16.7.2

Publiés le 25 octobre 2023

CoreAnimation

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une application peut provoquer un déni de service

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40449 : Tomi Tokics (@tomitokics) d’iTomsn0w

Find My

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut être en mesure de lire des informations de localisation confidentielles

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-40413 : Adam M.

ImageIO

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’une image peut entraîner la divulgation du contenu de la mémoire de traitement

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40416 : JZ

IOTextEncryptionFamily

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app pourrait exécuter un code arbitraire avec des privilèges liés au noyau

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-40423 : un chercheur anonyme

Kernel

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant étant déjà parvenu à exécuter du code au niveau du noyau peut être en mesure de contourner les mesures de protection appliquées à la mémoire de ce dernier

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42849 : Linus Henze de Pinauten GmbH (pinauten.de)

Mail Drafts

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : la fonctionnalité Masquer mon adresse e-mail peut être désactivée de manière inopinée

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2023-40408 : Grzegorz Riegel

mDNSResponder

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un appareil pouvait faire l’objet d’un suivi passif via son adresse MAC Wi-Fi

Description : ce problème a été résolu par la suppression du code vulnérable.

CVE-2023-42846 : Talal Haj Bakry et Tommy Mysk de Mysk Inc. @mysk_co

Pro Res

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app pourrait exécuter un code arbitraire avec des privilèges liés au noyau

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

CVE-2023-42841 : Mingxuan Yang (@PPPF00L), happybabywu et Guang Gong du 360 Vulnerability Research Institute

Safari

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : la consultation d’un site web malveillant peut révéler l’historique de navigation

Description : le problème a été résolu par une meilleure gestion des caches.

CVE-2023-41977 : Alex Renda

Siri

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un attaquant ayant physiquement accès à l’appareil peut utiliser Siri pour accéder à des données utilisateur sensibles

Description : ce problème a été résolu par la limitation des options proposées sur un appareil verrouillé.

CVE-2023-41997 : Bistrit Dahla

CVE-2023-41982 : Bistrit Dahla

Weather

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : une app peut accéder à des données sensibles de l’utilisateur

Description : un problème de confidentialité a été résolu par l’amélioration du masquage des données privées pour les entrées de journal.

CVE-2023-41254 : Cristian Dinca de l’école nationale d’informatique « Tudor Vianu » de Roumanie

WebKit

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : un mot de passe de l’utilisateur peut être lu par VoiceOver

Description : ce problème a été résolu par l’amélioration de la rédaction des informations sensibles.

WebKit Bugzilla : 248717
CVE-2023-32359 : Claire Houston

WebKit

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’un contenu web peut entraîner l’exécution arbitraire de code

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 259836
CVE-2023-40447 : 이준성(Junsung Lee) de Cross Republic

WebKit

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’un contenu web peut entraîner l’exécution arbitraire de code

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

WebKit Bugzilla : 260173
CVE-2023-42852 : un chercheur anonyme

WebKit

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’un contenu web peut entraîner l’exécution arbitraire de code

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 259890
CVE-2023-41976 : 이준성(Junsung Lee)

WebKit Process Model

Disponible pour : iPhone 8 (et modèles ultérieurs), iPad Pro (tous les modèles), iPad Air (3e génération et modèles ultérieurs), iPad (5e génération et modèles ultérieurs) et iPad mini (5e génération et modèles ultérieurs)

Conséquence : le traitement d’un contenu web peut être à l’origine d’un déni de service

Description : ce problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 260757
CVE-2023-41983 : 이준성(Junsung Lee)

Remerciements supplémentaires

libxml2

Nous tenons à remercier OSS-Fuzz et Ned Williamson de Google Project Zero pour leur aide.

libarchive

Nous tenons à remercier Bahaa Naamneh pour son aide.

WebKit

Nous tenons à remercier un chercheur anonyme pour son aide.

 

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: