Lors d'une compétition organisée à Chengdu en Chine, de nombreux systèmes d'exploitation et navigateurs sont passés à la moulinette. Premier au rang des victimes, iOS 15 a fait l'objet de non pas un, mais deux exploits réussis, qui plus est dans sa version 15.0.2, qui ne date que d'une semaine…
Malgré la solide réputation d'iOS sur le sujet, le système d'exploitation d'Apple ne cesse d'être éprouvé sur sa sécurité. Après un été difficile du fait de l'affaire Pegasus, Apple s'est attelé à patcher son OS mobile. Avec sa quinzième itération, de nouvelles failles ont été découvertes et aussitôt corrigées par les ingénieurs de Cupertino, mais il semble que les pauvres ne soient pas au bout de leurs peines.
Un hack éclair, mais beaucoup de recherches en amont
C'est l'équipe de Kunlun Lab qui a fait la démonstration la plus impressionnante avec un hack à distance exécuté en à peine 15 secondes sur un iPhone 13 Pro doté de la dernière mise à jour. Comme souvent sur iOS, c'est Safari qui est en cause. Sans entrer dans les détails, l'équipe dirigée par l'ancien directeur technique de l'entreprise Qihoo 360 a lancé le hack à l'aide d'un lien infecté qui a outrepassé les défenses du navigateur d'Apple. Bien entendu, le script nécessaire à cet exploit n'a pas été codé quelques heures avant la démonstration et a demandé des mois de recherche à l'équipe pour détecter la faille et mettre au point un plan cohérent.
Le groupe de Kunlun Lab n'était pas le seul à s'attaquer à l'iPhone, puisque la Team Pangu, qui possède un antécédent avec le jailbreak d'appareils Apple, a une nouvelle fois brillé, au point de remporter la compétition et la récompense de 300 000 dollars. Pour arriver premier sur le podium, le groupe de hackers a fait la démonstration d'un jailbreak du dernier iPhone d'Apple équipé d'iOS 15.0.2, le tout via un lien déclenchant ici aussi un script exploitant les failles de Safari.
Un patch ne saurait tarder
Ces hackers sont avant tout des chercheurs, et leurs actes sont complètement légaux tant qu'ils transmettent leurs trouvailles à Apple afin d'aider à sécuriser iOS. Les deux équipes ont déclaré qu'elles montreraient patte blanche et collaboreraient avec les ingénieurs de la Pomme pour corriger les failles exploitées.
On peut s'attendre à ce que ces correctifs arrivent d'ici peu dans une troisième mise à jour de sécurité, ou alors dans iOS 15.1.
En tout cas, le système d'exploitation de l'iPhone n'était pas le seul à se faire martyriser. Windows 10, Google Chrome ou encore Microsoft Exchange ont aussi fait l'objet d'attaques durant la compétition.
Source : Forbes
