PSA : si vous possédez un appareil Apple, vous avez peut-être remarqué une notification de mise à jour imprévue aujourd’hui. Vous souhaiterez peut-être effectuer ces mises à jour dès que possible. Les correctifs sont destinés à iOS, watchOS et macOS et corrigent une faille de sécurité majeure qui a été activement exploitée depuis février pour installer le logiciel espion Pegasus sur les appareils sans intervention de l’utilisateur.
Lundi, Apple a publié des mises à jour d’urgence pour iOS, watchOS et macOS. Les correctifs de sécurité ont été publiés en réponse à un exploit massif qui a permis aux systèmes d’exploitation d’être infectés par des logiciels espions sans interaction de la part de l’utilisateur.
Des chercheurs en sécurité du Citizen Lab de l’Université de Toronto ont révélé mardi dernier la vulnérabilité surnommée « Entrée forcée » à Apple. Le groupe a découvert la faille de sécurité (CVE-2021-30860) en analysant l’iPhone d’un activiste saoudien.
L' »exploit zéro clic » exploite une faiblesse d’iMessages qui fait appel à la bibliothèque de rendu d’images d’Apple et peut infecter l’appareil sans aucune intervention de l’utilisateur. Les chercheurs ont découvert que la vulnérabilité est inhérente aux trois systèmes d’exploitation d’Apple : iOS, watchOS et macOS.
Le logiciel espion utilisé est l’application controversée Pegasus développée par NSO Group en Israël. Citizen Lab dit qu’il pense que l’exploit est utilisé depuis février, mais qu’il n’avait aucune idée du nombre d’appareils pouvant être infectés par le logiciel espion.
Pegasus est un logiciel particulièrement insidieux dans la mesure où il peut tout faire, de l’activation de la caméra et du microphone à l’accès aux paramètres de l’appareil.
« Ce logiciel espion peut faire tout ce qu’un utilisateur d’iPhone peut faire sur son appareil et plus encore », a déclaré au New York Times John Scott-Railton, chercheur principal au Citizen Lab. Le co-chercheur Bill Marczak a ajouté : « L’industrie des logiciels espions commerciaux s’assombrit »
Le groupe NSO maintient qu’il ne vend ses logiciels espions qu’aux agences gouvernementales chargées de l’application de la loi conformément aux lois et réglementations régionales. Cependant, le logiciel est apparu sur les appareils de personnes non criminelles, notamment des diplomates, des militants et des journalistes. De plus, l’agence de police de l’État allemand a fait l’objet de vives critiques la semaine dernière pour avoir secrètement acheté et employé Pegasus pour espionner des terroristes et des membres du crime organisé.
Depuis qu’ils ont appris l’exploit mardi dernier, les ingénieurs d’Apple se sont efforcés de trouver un correctif et en ont publié un aujourd’hui. Scott-Railton exhorte les propriétaires de tout appareil Apple à mettre à jour le système d’exploitation dès que possible.
Si vous êtes intéressé par les détails complets de la vulnérabilité, Citizen Lab a publié un article sur son site Web. Apple a également répertorié des notes de mise à jour sur ses pages de support.
Crédit image : Amir Cohen/Reuters