À propos des mises à jour de sécurité Apple
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.
Les documents de sécurité Apple répertorient les vulnérabilités par identifiant CVE dans la mesure du possible.
Pour obtenir des informations supplémentaires en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.
iOS 16.7.9 et iPadOS 16.7.9
Publiés le 29 juillet 2024
CoreGraphics
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un fichier malveillant peut entraîner l’arrêt inopiné d’apps.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2024-40799 : D4m0n
CoreMedia
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un fichier vidéo malveillant peut entraîner l’arrêt inopiné d’apps.
Description : un problème d’écriture hors limites a été résolu par une meilleure validation des entrées.
CVE-2024-27873 : Amir Bazine et Karsten König de CrowdStrike Counter Adversary Operations
ImageIO
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’une image peut entraîner un déni de service.
Description : une vulnérabilité est présente dans le code open source et les logiciels Apple font partie des projets concernés. La référence CVE a été attribuée par un tiers. Consultez le site cve.org pour en savoir plus sur le problème et la référence CVE.
CVE-2023-6277
CVE-2023-52356
ImageIO
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un fichier malveillant peut entraîner l’arrêt inopiné d’apps.
Description : un problème de lecture hors limites a été résolu par une meilleure validation des entrées.
CVE-2024-40806 : Yisumi
ImageIO
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un fichier malveillant peut entraîner l’arrêt inopiné d’apps.
Description : un problème de dépassement d’entier a été résolu par une meilleure validation des entrées.
CVE-2024-40784 : Junsung Lee en collaboration avec le programme Zero Day Initiative de Trend Micro et Gandalf4a
Kernel
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un attaquant local peut provoquer un arrêt inopiné du système.
Description : un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.
CVE-2024-40788 : Minghao Lin et Jiaxun Zhu de l’université du Zhejiang
NetworkExtension
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : la navigation privée peut divulguer une partie de l’historique de navigation.
Description : un problème de confidentialité a été résolu par l’amélioration du masquage des données privées pour les entrées de journal.
CVE-2024-40796 : Adam M.
Photos Storage
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : les photos de l’album Photos masquées peuvent être consultées sans authentification.
Description : un problème d’authentification a été résolu par une meilleure gestion des états.
CVE-2024-40778 : Mateen Alinaghi
Security
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : une app peut lire l’historique de navigation de Safari.
Description : ce problème a été résolu par l’amélioration de la rédaction des informations sensibles.
CVE-2024-40798 : Adam M.
Shortcuts
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un raccourci peut utiliser des données sensibles avec certaines actions sans demander l’approbation de l’utilisateur.
Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.
CVE-2024-40833 : un chercheur anonyme
CVE-2024-40835 : un chercheur anonyme
CVE-2024-40836 : un chercheur anonyme
Shortcuts
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.
Description : ce problème a été résolu par la suppression du code vulnérable.
CVE-2024-40793 : Kirin (@Pwnrin)
Shortcuts
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un raccourci peut être en mesure de contourner les autorisations requises pour un accès à Internet.
Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.
CVE-2024-40809 : un chercheur anonyme
CVE-2024-40812 : un chercheur anonyme
Siri
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un attaquant ayant physiquement accès à l’appareil peut utiliser Siri pour accéder à des données utilisateur sensibles
Description : ce problème a été résolu par la limitation des options proposées sur un appareil verrouillé.
CVE-2024-40818 : Bistrit Dahal et Srijan Poudel
Siri
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un attaquant peut accéder à des données utilisateur sensibles.
Description : ce problème a été résolu par une meilleure gestion des états.
CVE-2024-40786 : Bistrit Dahal
Siri
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un attaquant bénéficiant d’un accès physique à un appareil peut accéder aux contacts depuis l’écran verrouillé.
Description : ce problème a été résolu par la limitation des options proposées sur un appareil verrouillé.
CVE-2024-40822 : Srijan Poudel
VoiceOver
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : un attaquant peut afficher du contenu restreint à partir de l’écran verrouillé.
Description : le problème a été résolu par de meilleures vérifications.
CVE-2024-40829 : Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal Inde
WebKit
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.
Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.
CVE-2024-40789 : Seunghyun Lee (@0x10n) du KAIST Hacking Lab en collaboration avec le programme Zero Day Initiative de Trend Micro
WebKit
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.
Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.
WebKit Bugzilla : 273176
CVE-2024-40776 : Huang Xilin du Ant Group Light-Year Security Lab
WebKit Bugzilla : 268770
CVE-2024-40782 : Maksymilian Motyl
WebKit
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.
Description : un problème de lecture hors limites a été résolu par une meilleure vérification des limites.
WebKit Bugzilla : 275431
CVE-2024-40779 : Huang Xilin du Ant Group Light-Year Security Lab
WebKit Bugzilla : 275273
CVE-2024-40780 : Huang Xilin du Ant Group Light-Year Security Lab
WebKit
Disponible pour : iPhone 8, iPhone 8 Plus, iPhone X, iPad (5e génération), iPad Pro 9,7 pouces et iPad Pro 12,9 pouces (1re génération)
Conséquence : le traitement d’un contenu web malveillant peut provoquer une attaque par injection de code indirect.
Description : le problème a été résolu par la réalisation de meilleures vérifications.
WebKit Bugzilla : 273805
CVE-2024-40785 : Johan Carlsson (joaxcar)
Remerciements supplémentaires
Shortcuts
Nous tenons à remercier un chercheur anonyme pour son aide.