Apple a ouvert son programme de recherche de failles (ce qu'on appelle généralement du bug bounty) en 2019 et depuis, il y a un reproche assez récurrent : la firme rechigne à ouvrir les cordons de la bourse. Si Apple paye les chercheurs qui découvrent les failles en suivant les règles, elle tend en effet à ne proposer que des sommes parfois assez faibles, avec des règles plus contraignantes que celles de ses concurrents. Ce n'est d'ailleurs pas la première fois que nous relayons ce reproche.
Le dernier exemple en date est relayé par MacWorld. Renwa a découvert une faille critique dans Safari, qui permettait d'accéder à des informations issues d'autres processus. Dans une des démonstrations, elle permet d'accéder au contenu d'un onglet ouvert sur iCloud.com, dans l'autre d'accéder à la caméra d'un Mac ou d'un appareil iOS. La faille, corrigée avec macOS 15.4 ou iOS 18.4 (et les autres itérations équivalents d'iPadOS, visionOS, etc.), est considérée comme critique selon les critères CVS, avec une note de 9,8/10.
Sur X, Renwa explique qu'Apple n'a payé que 1 000 $, une récompense qui semble assez faible pour une faille critique. Selon MacWorld, c'est assez habituel chez Apple de minimiser l'importance des failles au moment du paiement, mais un chercheur de bug (Gergely Karman) explique qu'Apple tend à ne même pas récompenser les chercheurs quand une faille nécessite plusieurs interactions de l'utilisateur (ce qui est le cas ici). C'est un point mis en avant sur la page dédiée du programme, et qui peut se défendre : une faille qui nécessite plusieurs interactions (plus d'un clic, en simplifiant) n'est pas nécessairement considérée comme dangereuse du point de vue d'un utilisateur. Mais d'un autre point de vue, c'est tout de même une faille qui peut être dangereuse une fois exploitée intelligemment par un malandrin. Certains, dans les réponses, pointent par ailleurs qu'Apple aurait même pu ne rien payer si la marque suivait ses règles, ce que le message publié par Renwa montre bien.
