Deux très sérieuses failles de sécurité ont été corrigées dans macOS 13.3.1 et iOS 16.4.1
macOS 13.3.1 et iOS 16.4.1 vont un peu plus loin qu'un simple correctif pour les couleurs des émojis des « mains qui se touchent ». Ces deux mises à jour inattendues pour un vendredi bouchent surtout deux très sérieuses failles de sécurité concernant WebKit (CVE-2023-28206) et IOSurfaceAccelerator (CVE-2023-28205).
Ces vulnérabilités, repérées par le Threat Analysis Group de Google et le Security Lab d'Amnesty International, permettent à des malandrins d'exécuter du code arbitraire. Apple ajoute que ces failles ont pu être exploitées de manière active : il importe donc de les télécharger et de les installer séance tenante. Les fiches d'assistance sont visibles ici : macOS 13.3.1, iOS 16.4.1.
Pour une mise en prod le vendredi soir, ça devait effectivement être très critique !
Merci de l'info, je rageais un peu.
On sait si la beta d'iOS 16.5 contient le correctif ? Peut-être dans la beta 2 plutôt ?
@bidibout
Ce n’est pas mentionné en tout cas, mais comme elle est sortie avant iOS 16.4.1, soit :
- Elle est déjà corrigée mais elle n’a pas été mentionnée pour des raisons de sécurité évidentes
- Elle n’est pas encore corrigée et donc ça sera certainement le cas sur la bêta 2
@Yoshi_1
Tu dois avoir raison, à suivre.
@bidibout,
« On sait si la beta d'iOS 16.5 contient le correctif ? Peut-être dans la beta 2 plutôt ? »
Les bêtas publiées par Apple peuvent effectivement contenir des correctifs de sécurité. C'est déjà arrivé par le passé à plusieurs reprises, notamment :
https://www.macg.co/os-x/2017/12/macos-10132-la-sixieme-beta-est-disponible-correction-de-la-faille-root-100596
Cela ne veut pas dire que c'est le cas actuellement. Il faut donc installer la version officielle qui contient ces correctifs de sécurité. Ces failles ont pû être exploitées. Veuillez ne pas retarder leur installation sous quelques prétextes.
👌
IOSurfaceAccelerator
Available for: macOS Ventura
Impact: An app may be able to execute arbitrary code with kernel privileges. Apple is aware of a report that this issue may have been actively exploited.
Description: An out-of-bounds write issue was addressed with improved input validation.
CVE-2023-28206: Clément Lecigne of Google's Threat Analysis Group and Donncha Ó Cearbhaill of Amnesty International’s Security Lab
WebKit
Available for: macOS Ventura
Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
Description: A use after free issue was addressed with improved memory management.
WebKit Bugzilla: 254797
CVE-2023-28205: Clément Lecigne of Google's Threat Analysis Group and Donncha Ó Cearbhaill of Amnesty International’s Security Lab
https://blog.google/threat-analysis-group/
😇
@Scooby-Doo
"Veuillez ne pas retarder leur installation sous quelques prétextes."
——-
J’utilise le prétexte ultime : « je fais ce que je veux »
@MarcMame,
« J’utilise le prétexte ultime : je fais ce que je veux »
Mon conseil ne s'adressait évidemment pas à vous puisque vous êtes connu comme étant un pur électron libre de l'informatique !
😇
@Scooby-Doo
Pas de mise à jour dispo depuis iOS 16.3.1, comme une version 16.3.2 …
Donc ça devrait juste vouloir dire qu’il s’agit bien d’une Régression apportée par la 16.4 corrigée par la 16.4.1 …
Bon ! Bien !
Comme on n’a jamais vraiment de communication très claire et précise et de surcroît de mécanismes de retour en arrière certain, sur les Régressions (sinon bien longtemps après, ou de façon incidente), qui ont toujours été monnaie courante en fin de version (iOS 16, macOS 13 aujourd’hui), juste avant la W… WC… WWDC 🤓
Chez moi, le widget a disparu du Centre de notifications depuis cette mise à jour.
[Edit] : Suite à la mise à jour, RansomWhere tournait à 100% et faisait monter la température de mon iMac 2021, et le widget avait disparu. Après un redémarrage, tout est rentré dans l'ordre.
Mais donc du coup les Rapid security responses sont encore une belle initiative d’Apple pour accélérer l’application des màj qui tombe à l’eau, puisqu’ils continuent à utiliser le mécanisme standard (et les 2 essais qu’ils ont fait en beta requièrent un redémarrage, alors qu’un des arguments était précisément que ce mécanisme n’en nécessitait pas…). C’est étrange ce qu’il se passe chez Apple des fois… est-ce que la communication interne est si mauvaise que les équipes qui publient ces màj n’ont pas connaissance de ce mécanisme?!
@MickaelBazoge
Il en sont au début sûrement
Et si le processus de mise à jour automatique n'est pas au point, je préfère qu'ils continuent selon le procédé ancien dont on maîtrise encore le déclenchement (laissant le temps de faire un clone avant installation au cas où...) plutôt que d'avoir une mise à jour qui s'installe à notre insu et plante tout.
@mat16963
« et les 2 essais qu’ils ont fait en beta requièrent un redémarrage, alors qu’un des arguments était précisément que ce mécanisme n’en nécessitait pas… »
Les deux tests qu’on a eu avaient l’air de redémarrer seulement le Springboard. Dans tous les cas, même s’il y a un redémarrage, ça reste seulement un redémarrage, alors qu’une mise à jour classique redémarre l’iPhone mais il y a le processus s’installation qui suit.
@Yoshi_1
Bonne précision
@mat16963, Mickaël Bazoge,
« C’est étrange ce qu’il se passe chez Apple des fois… est-ce que la communication interne est si mauvaise que les équipes qui publient ces màj n’ont pas connaissance de ce mécanisme?! »
« Oui c'est vrai que ça aurait été judicieux d'utiliser ça plutôt qu'une mise à jour standard. »
Apple :
Les mises à jour de sécurité qui impliquent le système d’exploitation nécessitent le redémarrage de l’appareil.
Sur macOS, le contenu mis à jour du système dʼexploitation peut être accessible par Safari et les processus qui y sont liés en relançant ces derniers.
En revanche, un redémarrage est requis pour rendre ce contenu largement accessible par le reste du système dʼopération.
https://support.apple.com/fr-fr/guide/deployment/dep93ff7ea78/web
👌
@Scooby-Doo
Merci pour l’info… mais leur exemple me semble quand même pas appliqué dans la réalité: par exemple au moment de la disponibilité d’iOS 16.3, on n’a pas eu de Rapid Security Response sur iOS 16.2, malgré ce qu’ils indiquent…
@mat16963,
« Merci pour l’info… mais leur exemple me semble quand même pas appliqué dans la réalité: par exemple au moment de la disponibilité d’iOS 16.3, on n’a pas eu de Rapid Security Response sur iOS 16.2, malgré ce qu’ils indiquent… »
Désolé que ma réponse ne vous aide pas ! En fait, ce n'est pas ma réponse mais une explication officielle trouvée sur le site de Apple.
Je partage votre scepticisme. Malheureusement Apple procède comme elle l'entend.
Pour la différence de traitement entre iOS 16.2 et 16.3, trois explications possibles :
1. La vulnérabilité a été introduite par la version 16.3 ;
2. Apple présuppose qu'un maximum d'utilisateurs est à jour et Apple corrige en premier ceux utilisant la dernière version ;
3. Cette faille est une régression.
Les deux premières explications ne sont en aucun cas satisfaisantes !
1. La vulnérabilité ne peut être aussi récente puisqu'il a fallu la découvrir, trouver un mécanisme pour l'utiliser et lancer une attaque reposant sur cette faille exploitée. Il faut quand même un peu de temps !
2. Tout le monde n'utilise pas la dernière version. Corriger uniquement un groupe en particulier me semble inéquitable. Je ne vois pas Apple prendre ce risque.
3. Cette faille a déjà été comblée et par mégarde elle refait surface. C'est déjà arrivé par le passé sur d'autres systèmes d'exploitation.
En fait Apple communique peu et on en est réduit à conjecturer !
Désolé…
🙃
@mat16963
"est-ce que la communication interne est si mauvaise que les équipes qui publient ces màj n’ont pas connaissance de ce mécanisme?!"
La culture du secret à l’interne est un obstacle majeur à une politique de sécurité développée. Basiquement, c’est l’une ou l’autre.
On sait laquelle Apple a choisi.
@fte,
« La culture du secret à l’interne est un obstacle majeur à une politique de sécurité développée. Basiquement, c’est l’une ou l’autre. »
Oui et non !
La plate-forme iOS reste la plus sûre alors qu'elle est verrouillée au possible avec en plus une culture du secret propre à Apple ! À part quelques prototypes d'iPhone perdus par mégarde dans le passé, Apple sait très bien garder ses secrets il me semble ! Et la sécurité est globalement au top comparée à Android !
👌
« il importe donc de les télécharger et de les installer séance tenante. »
———-
Non
@MarcMame,
« Non »
C'est le contraire qui m'aurait étonné !
😁
Plusieurs dirigeants d'Apple dont Tim Cook auraient vendu 40 millions $ d'actions depuis début avril.
@Cyrille50
Et tu tiens ça d’où ?
@Cyrille50
Oui et ensuite ils vont se réfugier quelques part dans le monde pour éviter le prochain holocauste suivant les informations du Pentagone
@Sindanarie
Je n'en doute pas 😂
@Cyrille50
Quel scoop, et moi qui pensais que Tim avait des actions juste pour rembourrer son cercueil 💀
@Sgt. Pepper,
« Quel scoop, et moi qui pensais que Tim avait des actions juste pour rembourrer son cercueil 💀 »
C'est ce qui arrive malheureusement quand on a déjà rempli plusieurs dizaines de piscines olympiques avec des actions, on en vient à rembourrer des cercueils !
😁
Avec la version de macOS 13.3 (22E252) je rencontrais des soucis de wifi quand je sortais de veille. Sait-on si cette mise à jour corrige ce problème ou non ?
J’ai le même souci, j’espère que c’est corrigé
Je confirme c’est corrigé
Encore des erreurs de gestion de mémoire. Il est temps de tout recoder en rust et langage à garbage collector. Quand je pense qu'ils ont recodé openvpn 3 en C++... 🦕🦖. Je resterai sur le 2.
@ koko256 : « Encore des erreurs de gestion de mémoire. Il est temps de tout recoder en rust »
En Swift alors, tant qu’à faire. 😉
@BeePotato
Ceci dit, avec CryptoKit en swift, j'ai eu des bug de synchro entre C++ et swift avec des objets Data libérés de la mémoire alors que j'avais une référence dessus. Je m'en suis sorti en les copiant dans un objet swift mais ça craint.
Il y a des trucs modifiés.
Dans raccourci, les commentaires ne sont plus en jaune( dommage). Mais surtout la navigation, et l’exécution(pour moi) sont plus rapide.
Les informations via raccourci sont correcte désormais, plus de bug.
Après modification dans l’un d’eux l’icône de celui-ci est celui le Logger(dernière action créer LOL et ce depuis 16.4)
Ca indique 895mo avant de débuter le téléchargement et 1,95go quand le téléchargement se lance...
Qu'en est-il pour Monterey et IOS 15 ?
Pour macOS la faille de WebKit CVE-2023-28205 est corrigée par la mise à jour de Safari 16.4.1 :
https://support.apple.com/fr-fr/HT213722
@Bicus
Merci pour l'info ! du coup c'est téléchargé, bien que j'utilise Firefox…
Mais je suis rassuré.