Apple a lancé une mise à jour de sécurité pour combler deux failles zero-day qu’un groupe de cyber-voyous a décidé d’exploiter. Ces menaces ciblent les Mac avec processeur Intel. Faisons le point sur cette situation un peu trop « techno-dramatique ».
Les nouveaux correctifs de sécurité d’Apple s’attaquent aux vulnérabilités suivantes : CVE-2024-44308 et CVE-2024-44309. Elles se cachent dans deux composants bien connus de macOS Sequoia : JavaScriptCore pour la CVE-2024-44308, et WebKit pour la CVE-2024-44309. Ces failles ont été découvertes par les chasseurs de bugs Clément Lecigne et Benoît Sevens, qui pourraient bien mériter un petit Oscar pour leur bravoure.
La faille CVE-2024-44308 dans JavaScriptCore permet aux malfaiteurs de faire de l’exécution de code à distance grâce à un contenu web malicieux conçu spécialement pour allumer le feu (virtuelle, bien sûr). Quant à la seconde vulnérabilité (CVE-2024-44309), elle ouvre la porte à des attaques de type cross-site scripting (XSS), de quoi faire frémir n’importe quel développeur web.
« Apple a eu vent d’un rapport indiquant que ce problème pourrait avoir été activement exploité sur des systèmes Mac basés sur Intel.« , peut-on lire dans le bulletin de sécurité d’Apple. Hélas, aucune information croustillante n’a été divulguée concernant ces attaques.
Comment se protéger ?
Pour préserver votre précieux Mac des vulnérabilités CVE-2024-44308 et CVE-2024-44309, il est impératif d’installer la dernière version de macOS Sequoia, à savoir Sequoia 15.1.1. Cette mise à jour se concentre sur la sécurité, lancée trois semaines après macOS Sequoia 15.1, qui avait déjà introduit la fameuse Apple Intelligence (et pas celle qui vous dit de ranger votre bureau).
Les composants affectés par ces failles ne se limitent pas à macOS, ils sont aussi présents sur d’autres systèmes d’exploitation d’Apple. En conséquence, d’autres mises à jour ont été déployées pour les iPhone et les iPad. Voici l’arsenal des nouvelles versions : iOS 17.7.2, iPadOS 17.7.2, iOS 18.1.1, iPadOS 18.1.1, et visionOS 2.1.1.
Avec l’ajout de ces deux vulnérabilités, Apple a désormais corrigé un total de 6 failles zero-day depuis le début de l’année 2024. Une première en janvier, suivie de deux en mars, une quatrième en mai, et maintenant celles-ci, un véritable festival de patchs !