À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par identifiant CVE dans la mesure du possible.
Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.
iOS 16
Publié le 12 septembre 2022
Accelerate Framework
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.
Description : un problème de consommation de mémoire a été résolu par une meilleure gestion de cette dernière.
CVE-2022-42795 : ryuzaki
Entrée ajoutée le 27 octobre 2022
AppleAVD
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une application peut provoquer un déni de service.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2022-32827 : Antonio Zekic (@antoniozekic), Natalie Silvanovich de Google Project Zero et un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
AppleAVD
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2022-32907 : Natalie Silvanovich de Google Project Zero, Antonio Zekic (@antoniozekic), John Aakerblom (@jaakerblom), ABC Research s.r.o, Yinyi Wu, Tommaso Bianco (@cutesmilee__)
Entrée ajoutée le 27 octobre 2022
AppleMobileFileIntegrity
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut accéder à des données sensibles de l’utilisateur.
Description : un problème de configuration a été résolu par des restrictions supplémentaires.
CVE-2022-32877 : Wojciech Reguła (@_r3ggi) de SecuRing
Entrée ajoutée le 16 mars 2023
Apple Neural Engine
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut divulguer des informations sensibles sur l’état du noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32858 : Mohamed Ghannam (@_simo36)
Entrée ajoutée le 27 octobre 2022
Apple Neural Engine
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app pourrait exécuter un code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32898 : Mohamed Ghannam (@_simo36)
CVE-2022-32899 : Mohamed Ghannam (@_simo36)
CVE-2022-32889 : Mohamed Ghannam (@_simo36)
Entrée ajoutée le 27 octobre 2022
Apple TV
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut accéder à des données sensibles de l’utilisateur.
Description : le problème a été résolu par une meilleure gestion des caches.
CVE-2022-32909 : Csaba Fitzl (@theevilbit) d’Offensive Security
Entrée ajoutée le 27 octobre 2022
Contacts
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de contourner les préférences de confidentialité.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2022-32854 : Holger Fuhrmannek de Deutsche Telekom Security
Crash Reporter
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur ayant physiquement accès à un appareil iOS peut lire d’anciens historiques de diagnostic.
Description : ce problème a été résolu par une meilleure protection des données.
CVE-2022-32867 : Kshitij Kumar et Jai Musunuri de Crowdstrike
Entrée ajoutée le 27 octobre 2022
DriverKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app pourrait exécuter un code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32865 : Linus Henze de Pinauten GmbH (pinauten.de)
Entrée ajoutée le 27 octobre 2022
Exchange
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur bénéficiant d’une position privilégiée sur le réseau peut intercepter des informations d’identification de messagerie.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2022-32928 : Jiří Vinopal (@vinopaljiri) de Check Point Research
Entrée ajoutée le 27 octobre 2022, mise à jour le 16 mars 2023
FaceTime
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur est susceptible de transmettre du contenu audio et vidéo pendant un appel FaceTime sans s’en rendre compte.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2022-22643 : Sonali Luthar de l’université de Virginie, Michael Liao de l’université d’Illinois Urbana-Champaign, Rohan Pahwa de la Rutgers University, et Bao Nguyen de l’université de Floride
Entrée ajoutée le 16 mars 2023
GPU Drivers
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app pourrait divulguer le contenu de la mémoire du noyau.
Description : plusieurs problèmes d’écriture hors limites ont été résolus par une meilleure vérification des limites.
CVE-2022-32793 : un chercheur anonyme
Entrée ajoutée le 16 mars 2023
GPU Drivers
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2022-26744 : un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
GPU Drivers
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32903 : un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
ImageIO
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : le traitement d’une image peut entraîner un déni de service.
Description : un problème de déni de service a été résolu par une meilleure validation.
CVE-2022-1622
Entrée ajoutée le 27 octobre 2022
Image Processing
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app en sandbox est susceptible de déterminer quelle app utilise actuellement la caméra.
Description : le problème a été résolu grâce à des restrictions supplémentaires sur l’observabilité des états des apps.
CVE-2022-32913 : Yiğit Can YILMAZ (@yilmazcanyigit)
Entrée ajoutée le 27 octobre 2022
IOGPUFamily
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app pourrait exécuter un code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32887 : un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
Kernel
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut divulguer le contenu de la mémoire du noyau.
Description : un problème de lecture hors limites entraînait la divulgation de la mémoire du noyau. Ce problème a été résolu grâce à une meilleure validation des entrées.
CVE-2022-32916 : Pan ZhenPeng de STAR Labs SG Pte. Ltd.
Entrée ajoutée le 9 novembre 2022
Kernel
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème d’utilisation de mémoire libérée a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32914 : Zweig de Kunlun Lab
Entrée ajoutée le 27 octobre 2022
Kernel
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32866 : Linus Henze de Pinauten GmbH (pinauten.de)
CVE-2022-32911 : Zweig de Kunlun Lab
Entrée mise à jour le 27 octobre 2022
Kernel
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app pourrait divulguer le contenu de la mémoire du noyau.
Description : ce problème a été résolu par une meilleure gestion de la mémoire.
CVE-2022-32864 : Linus Henze de Pinauten GmbH (pinauten.de)
Kernel
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une application peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : ce problème a été résolu par une meilleure vérification des limites.
CVE-2022-32917 : un chercheur anonyme
Maps
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de lire des informations de localisation confidentielles.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2022-32883 : Ron Masas, breakpointhq.com
MediaLibrary
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur peut être en mesure d’augmenter les privilèges.
Description : un problème de corruption de la mémoire a été résolu par une meilleure validation des entrées.
CVE-2022-32908 : un chercheur anonyme
Notifications
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur ayant physiquement accès à un appareil peut accéder aux contacts depuis l’écran verrouillé.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2022-32879 : Ubeydullah Sümer
Entrée ajoutée le 27 octobre 2022
Photos
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de contourner les préférences de confidentialité.
Description : ce problème a été résolu par une meilleure protection des données.
CVE-2022-32918 : Ashwani Rajput de Nagarro Software Pvt. Ltd, Srijan Shivam Mishra de The Hack Report, Jugal Goradia d’Aastha Technologies, Evan Ricafort (evanricafort.com) d’Invalid Web Security, Shesha Sai C (linkedin.com/in/shesha-sai-c-18585b125), Amod Raghunath Patwardhan de Pune, Inde
Entrée ajoutée le 27 octobre 2022, mise à jour le 16 mars 2023
Safari
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : la consultation d’un site web malveillant peut entraîner une utilisation détournée de la barre d’adresse.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2022-32795 : Narendra Bhati de Suma Soft Pvt. Ltd. (@imnarendrabhati) à Pune (India)
Safari Extensions
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un site web peut être en mesure de tracer les utilisateurs via les extensions web Safari.
Description : un problème de logique a été résolu par une meilleure gestion des états.
WebKit Bugzilla : 242278
CVE-2022-32868 : Michael
Sandbox
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure d’apporter des modifications à des sections protégées du système de fichiers.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2022-32881 : Csaba Fitzl (@theevilbit) d’Offensive Security
Entrée ajoutée le 27 octobre 2022
Security
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de contourner les vérifications de signature de code.
Description : un problème de validation des signatures de code a été résolu par la réalisation de meilleures vérifications.
CVE-2022-42793 : Linus Henze de Pinauten GmbH (pinauten.de)
Entrée ajoutée le 27 octobre 2022
Shortcuts
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une personne bénéficiant d’un accès physique à un appareil iOS peut être en mesure d’accéder aux photos via l’écran de verrouillage.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2022-32872 : Elite Tech Guru
Sidecar
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur peut afficher du contenu restreint à partir de l’écran de verrouillage
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2022-42790 : Om kothawade de Zaprico Digital
Entrée ajoutée le 27 octobre 2022
Siri
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une personne disposant d’un accès physique à un appareil peut être en mesure d’utiliser Siri pour accéder aux informations du calendrier privé.
Description : un problème de logique a été résolu par de meilleures restrictions.
CVE-2022-32871 : Amit Prajapat de Payatu Security Consulting Private Limited
Entrée ajoutée le 16 mars 2023
Siri
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur ayant physiquement accès à un appareil peut utiliser Siri pour obtenir des informations sur l’historique des appels.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2022-32870 : Andrew Goldberg de la McCombs School of Business de l’Université du Texas à Austin (linkedin.com/andrew-goldberg-/)
Entrée ajoutée le 27 octobre 2022
Software Update
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure d’exécuter du code arbitraire avec des privilèges liés au noyau.
Description : un problème de concurrence a été résolu par une meilleure gestion des états.
CVE-2022-42791 : Mickey Jin (@patch1t) de Trend Micro
Entrée ajoutée le 9 novembre 2022
SQLite
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur distant peut être en mesure d’entraîner un déni de service.
Description : ce problème a été résolu par la réalisation de meilleures vérifications.
CVE-2021-36690
Entrée ajoutée le 27 octobre 2022
Time Zone
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : les contacts supprimés peuvent encore apparaître dans les résultats de recherche Spotlight.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2022-32859
Entrée ajoutée le 27 octobre 2022
Watch app
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de lire l’identifiant permanent d’un appareil.
Description : ce problème a été résolu par l’amélioration des autorisations.
CVE-2022-32835 : Guilherme Rambo de Best Buddy Apps (rambo.codes)
Entrée ajoutée le 27 octobre 2022
Weather
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut être en mesure de lire des informations de localisation confidentielles.
Description : un problème de logique a été résolu par une meilleure gestion des états.
CVE-2022-32875 : un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
WebKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un utilisateur non autorisé peut être en mesure d’accéder à l’historique de navigation.
Description : un problème affectait les chemins des fichiers utilisés pour stocker les données des sites web. Le problème a été résolu en améliorant le stockage des données des sites web.
CVE-2022-32833 : Csaba Fitzl (@theevilbit) d’Offensive Security, Jeff Johnson
Entrée ajoutée le 9 novembre 2022
WebKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
WebKit Bugzilla : 242047
CVE-2022-32888 : P1umer (@p1umer)
Entrée ajoutée le 27 octobre 2022
WebKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : la consultation d’un site web incluant du contenu malveillant peut entraîner du spoofing dans l’interface utilisateur.
Description : ce problème a été résolu par une meilleure gestion de l’interface utilisateur.
WebKit Bugzilla : 243236
CVE-2022-32891 : @ real_as3617 et un chercheur anonyme
Entrée ajoutée le 27 octobre 2022
WebKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème de dépassement de la mémoire tampon a été résolu par une meilleure gestion de la mémoire.
WebKit Bugzilla : 241969
CVE-2022-32886 : P1umer, afang5472, xmzyshypnc
WebKit
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : le traitement d’un contenu web malveillant peut entraîner l’exécution arbitraire de code.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
WebKit Bugzilla : 242762
CVE-2022-32912 : Jeonghoon Shin (@singi21a) de Theori, en collaboration avec le programme Zero Day Initiative de Trend Micro
WebKit Sandboxing
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : un processus en sandbox est susceptible de contourner les restrictions de la sandbox.
Description : un problème d’accès a été résolu par des améliorations de la sandbox.
WebKit Bugzilla : 243181
CVE-2022-32892 : @18楼梦想改造家 et @jq0904 du laboratoire WeBin de DBAppSecurity
Entrée ajoutée le 27 octobre 2022
Wi-Fi
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut exécuter un code arbitraire avec des privilèges liés au noyau.
Description : un problème de corruption de la mémoire a été résolu par une meilleure gestion des états.
CVE-2022-46709 : Wang Yu de Cyberserval
Entrée ajoutée le 16 mars 2023
Wi-Fi
Disponible pour : iPhone 8 et modèles ultérieurs
Conséquence : une app peut provoquer l’arrêt inopiné du système ou l’écriture de contenu dans la mémoire du noyau.
Description : un problème d’écriture hors limites a été résolu par une meilleure vérification des limites.
CVE-2022-32925 : Wang Yu de Cyberserval
Entrée ajoutée le 27 octobre 2022
Remerciements supplémentaires
AirDrop
Nous tenons à remercier Alexander Heinrich, Milan Stute et Christian Weinert de l’Université de technologie de Darmstadt pour leur aide.
Entrée ajoutée le 27 octobre 2022
AppleCredentialManager
Nous tenons à remercier @jonathandata1 pour son aide.
Entrée ajoutée le 27 octobre 2022
Calendar UI
Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal pour son aide.
Entrée ajoutée le 27 octobre 2022
CoreGraphics
Nous tenons à remercier Simon de Vegt pour son aide.
Entrée ajoutée le 9 novembre 2022
FaceTime
Nous tenons à remercier un chercheur anonyme pour son aide.
Entrée ajoutée le 27 octobre 2022
Find My
Nous tenons à remercier un chercheur anonyme pour son aide.
Entrée ajoutée le 27 octobre 2022
Game Center
Nous tenons à remercier Joshua Jones pour son aide.
iCloud
Nous tenons à remercier Bülent Aytulun et un chercheur anonyme pour leur aide.
Entrée ajoutée le 27 octobre 2022
Identity Services
Nous tenons à remercier Joshua Jones pour son aide.
Kernel
Nous tenons à remercier Pan ZhenPeng(@Peterpan0927), Tingting Yin de l’Université Tsinghua, Min Zheng de Ant Group, ainsi qu’un chercheur anonyme pour leur aide.
Entrée ajoutée le 27 octobre 2022
Nous tenons à remercier un chercheur anonyme pour son aide.
Entrée ajoutée le 27 octobre 2022
Notes
Nous tenons à remercier Edward Riley d’Iron Cloud Limited (ironclouduk.com) pour son aide.
Entrée ajoutée le 27 octobre 2022
Photo Booth
Nous tenons à remercier Prashanth Kannan de Dremio pour son aide.
Entrée ajoutée le 27 octobre 2022
Safari
Nous tenons à remercier Scott Hatfield du Sub-Zero Group pour son aide.
Entrée ajoutée le 16 mars 2023
Sandbox
Nous tenons à remercier Csaba Fitzl (@theevilbit) d’Offensive Security pour son aide.
Entrée ajoutée le 27 octobre 2022
Shortcuts
Nous tenons à remercier Shay Dror pour son aide.
Entrée ajoutée le 27 octobre 2022
SOS
Nous tenons à remercier Xianfeng Lu et Lei Ai de OPPO Amber Security Lab pour leur aide.
Entrée ajoutée le 27 octobre 2022
UIKit
Nous tenons à remercier Aleczander Ewing, Simon de Vegt et un chercheur anonyme pour leur aide.
Entrée ajoutée le 27 octobre 2022
WebKit
Nous tenons à remercier un chercheur anonyme pour son aide.
Entrée ajoutée le 27 octobre 2022
WebRTC
Nous tenons à remercier un chercheur anonyme pour son aide.
Entrée ajoutée le 27 octobre 2022