Les chercheurs de Google rapportent des 0-jours critiques dans Chrome et tous les systèmes d’exploitation d’Apple.

Les chercheurs du groupe Threat Analysis de Google sont aussi occupés que jamais avec des découvertes qui ont conduit à la divulgation de trois vulnérabilités zero-day de haute sévérité exploitées activement dans les systèmes d’exploitation Apple et le navigateur Chrome en 48 heures. Apple a annoncé jeudi qu’il publiait des mises à jour de sécurité corrigeant deux vulnérabilités présentes dans iOS, macOS et iPadOS. Tous les deux résident dans WebKit, le moteur qui pilote Safari et une large gamme d’autres applications, notamment Apple Mail, l’App Store et tous les navigateurs fonctionnant sur iPhone et iPad. Bien que la mise à jour s’applique à toutes les versions prises en charge des systèmes d’exploitation Apple, la divulgation de jeudi a suggéré que les attaques en cours d’exploitation des vulnérabilités ciblaient des versions antérieures d’iOS. « Apple est au courant d’un rapport selon lequel ce problème aurait été exploité contre des versions d’iOS avant iOS 16.7.1 », ont écrit les responsables d’Apple des deux vulnérabilités, qui sont suivies sous le nom CVE-2023-42916 et CVE-2023-42917. CVE-2023-42916 est une lecture hors limites qui permet aux pirates informatiques d’obtenir des informations sensibles lorsque les applications WebKit traitent un contenu en ligne spécialement conçu. CVE-2023-42917 est une faille de corruption de la mémoire qui cause des systèmes vulnérables à exécuter du code malveillant lors du traitement du contenu créé par les pirates informatiques pour une application WebKit. Apple a attribué la découverte des deux vulnérabilités à Clément Lecigne de TAG. Ni Apple ni Google n’ont fourni de détails sur les attaques zero-day. Mardi, Google a annoncé la publication d’une mise à jour corrigeant sept vulnérabilités de Chrome, dont une zero-day, ce qui signifie que Google l’a apprise après que des exploits aient déjà été disponibles dans le monde réel. Google n’a fourni aucun détail supplémentaire relatif à l’attaque zero-day.