Apple enquête toujours sur trois jours zéro d’iOS 15 après qu’un chercheur ait critiqué le programme de primes aux bugs

Apple Enquête Toujours Sur Trois Jours Zéro D'ios 15 Après

Pourquoi c’est important : la semaine dernière, un chercheur a divulgué publiquement plusieurs exploits zero-day qui n’ont toujours pas été corrigés à partir d’iOS 15.0, affirmant qu’ils avaient averti Apple des vulnérabilités pendant des mois avant d’être ignorés. Apple a récemment répondu qu’il enquêtait toujours, bien que cela puisse en dire autant sur le programme de primes aux bugs d’Apple que sur les vulnérabilités elles-mêmes. Le chercheur a ensuite critiqué la capacité du processus d’examen des applications d’Apple à détecter les applications malveillantes.

Denis Tokarev a publié le code source de quatre exploits dans un article de blog, dont trois n’ont pas encore été corrigés par Apple. Grâce à eux, les applications malveillantes pourraient exposer des éléments tels que les informations WiFi des utilisateurs, les noms complets associés aux identifiants Apple, les listes de contacts pour diverses méthodes de messagerie et différents types de métadonnées utilisateur. Tokarev a informé Apple des exploits à plusieurs reprises depuis avril et n’a reçu une réponse que récemment.

Tokarev a partagé l’e-mail d’Apple dans un article de blog ultérieur, et Vice’s Motherboard a vérifié que l’e-mail provenait des serveurs d’Apple.

« Nous avons vu votre article de blog concernant ce problème et vos autres rapports. Nous nous excusons pour le retard de votre réponse », peut-on lire. « Nous voulons vous informer que nous enquêtons toujours sur ces problèmes et sur la manière dont nous pouvons les résoudre pour protéger les clients. Merci encore d’avoir pris le temps de nous signaler ces problèmes, nous apprécions votre aide. Veuillez nous faire savoir si vous avez des questions. »

Apple enquete toujours sur trois jours zero diOS 15 apres

Les exploits eux-mêmes fonctionnent via des applications passant par le processus de certification d’Apple pour accéder à l’App Store. Cependant, un problème avec le retard d’Apple à répondre, ainsi que l’affirmation de Tokarev selon laquelle Apple a corrigé la quatrième vulnérabilité dans une mise à jour précédente sans le mentionner, est la façon dont cela se reflète sur le programme de primes aux bugs d’Apple.

Les primes d’insectes peuvent être très lucratives pour les chercheurs. En juillet, Microsoft a accordé plus de 13 millions de dollars à des chercheurs au cours de l’année écoulée dans le cadre de son programme de primes aux bugs. L’été dernier, Apple a accordé 100 000 $ à un chercheur pour avoir découvert un bug zero-day.

1632856510 884 Apple enquete toujours sur trois jours zero diOS 15 apres

Même si les exploits publiés par Tokarev doivent passer par des applications qui arrivent sur l’App Store, il critique également le processus de révision d’Apple. Le message entre dans des détails techniques approfondis, mais il souligne le cas de Charlie Miller, qui a réussi à faire passer une application au-delà du processus de révision d’Apple en 2011 qui a révélé une faille de sécurité. Apple a expulsé Miller de l’App Store en réponse, et Tokarev affirme que rien n’a changé depuis lors.

Le dernier article de blog de Tokarev pose également une situation dans laquelle quelqu’un pourrait utiliser l’un des exploits qu’il a publiés pour faire connaître les personnes LGBTQ. Cet exploit permet à une application de vérifier si une autre application est installée sur un appareil via son bundleID. Théoriquement, quelqu’un pourrait mettre à jour une application existante avec un code qui vérifie si un utilisateur a installé Grindr sur son appareil. Le billet de blog est également une critique générale de la façon dont Apple gère l’App Store en ce qui concerne la compétitivité et la capacité de l’entreprise à contrôler la propagation des applications frauduleuses.