Apple a récemment publié une mise à jour logicielle pour iOS et iPadOS 15.6.1 afin de corriger une vulnérabilité du noyau zero-day identifiée comme CVE-2022-32917. Cette vulnérabilité critique dans les appareils Apple permet l'exécution de code avec les privilèges du noyau. Lookout vous explique comment.
Apple est au courant d'un rapport mentionnant l'exploitation active de la vulnérabilité dans la nature. Cette vulnérabilité pourrait permettre à une application conçue de manière malveillante d'exécuter du code arbitraire avec les privilèges du noyau. Ce CVE pourrait affecter les modèles Apple iPhone, iPad et iPod Touch, ce qui signifie que toute personne utilisant l'un de ces appareils doit mettre à jour son appareil immédiatement en accédant à Paramètres, Général, puis Mise à jour logicielle. Apple a corrigé cette vulnérabilité dans iOS 15.7 et iOS 16.
Déjà la 8e vulnérabilité en 2022
Il s'agit de la huitième vulnérabilité zero-day qu'Apple a corrigée au niveau du système d'exploitation cette année. La mise à jour iOS 15.7 couvre également 10 autres vulnérabilités de gravité variable, dont deux vulnérabilités de webkit qui peuvent également être exploitées à distance via un site Web spécialement conçu, et les trois vulnérabilités du noyau allant de l'octroi d'un accès privilégié à l'exposition de la mémoire du noyau sont suffisantes.
La vulnérabilité permet le contrôle de l'appareil
Ensemble, ces CVE pourraient accorder le contrôle de l'appareil à un utilisateur distant en utilisant des techniques telles que l'exploitation pour l'escalade de privilèges (T1404) et la compromission au volant (T1456) trouvées dans la matrice MITRE Mobile ATT&CK. À la lumière des rapports selon lesquels la vulnérabilité du noyau CVE-2022-32917 est activement exploitée dans la nature, Lookout suggère fortement aux administrateurs d'établir des politiques qui encouragent leurs utilisateurs à mettre à jour leurs appareils Apple vers au moins la version 15.7. CVE-2022-32917 a été signalé conformément aux directives de la CISA, obligeant toutes les agences gouvernementales à suivre les directives du fournisseur de mises à jour de sécurité.
Plus sur Lookout.com
À propos de Lookout Les cofondateurs de Lookout, John Hering, Kevin Mahaffey et James Burgess, se sont réunis en 2007 dans le but de protéger les personnes contre les risques de sécurité et de confidentialité posés par un monde de plus en plus connecté. Avant même que les smartphones ne soient dans la poche de tout le monde, ils se sont rendus compte que la mobilité aurait un impact profond sur notre façon de travailler et de vivre.