Selon un rapport récent, une nouvelle faille de sécurité présente sur le navigateur Safari d'Apple pourrait être employée abusivement par des pirates informatiques. Dans le but de voler des fichiers sur les appareils Mac et iOS.
C’est Pawel Wylecial, le co-fondateur de la société de cybersécurité polonaise REDTEAM.PL qui a découvert ce bug en avril dernier, avant de le signaler à Apple. Cependant, il a décidé de rendre publique sa découverte après que la firme ait décidé de retarder la correction de cette anomalie... au printemps 2021.
Dans un article récemment publié sur son blog, Wylecial explique que la faille réside dans l'implémentation par Safari de l'API Web Share, un standard web qui permet le partage de textes, de liens, de fichiers et d’autres contenus entre navigateurs.
- Un code malveillant découvert dans des applications iOS
- Amazon Alexa : une faille de sécurité permettrait d'écouter toutes vos conversations
- Zoom attaqué en justice aux États-Unis pour avoir menti sur sa sécurité
Le navigateur d'Apple permet à ses utilisateurs de partager des fichiers qui sont stockés localement sur leurs appareils iOS ou macOS. Toutefois, cette fonctionnalité pourrait être exploitée par des sites web malveillants qui pourraient ainsi voler secrètement des fichiers sur votre appareil lorsque vous tenterez de partager un article ou un autre contenu en ligne à l'aide de Safari.
Une réaction tardive pour Apple ?
Wylecial a également inclus une vidéo de démonstration dans son blog. Via cette dernière, il montre comment ce bug de l'API Web Share peut être manipulé pour subtiliser des données personnelles tels que le "/etc/passwd" ou l'historique de navigation d'un utilisateur dans Safari.
M. Wylecial a décrit ce bug comme n’étant pas "trop préoccupant", notamment parce qu’il nécessite une action de la part de l'utilisateur combinée à des connaissances assez poussées. Il a néanmoins souligné qu'il serait assez facile pour un assaillant de rendre le fichier partagé "invisible pour l'utilisateur".
La manière dont Apple traite ici ce rapport s'avère plus inquiétant. En général, les chercheurs en cybersécurité donnent aux entreprises un délai de 90 jours pour réparer la vulnérabilité avant de rendre leurs conclusions publiques. Mais en repoussant la correction du problème au printemps de l'année prochaine, Apple a forcé la main à Wylecial qui a donc du exposer la vulnérabilité au grand jour.
Quant à la faille en elle-même, l’entreprise a déclaré que les versions 13.41 et 13.6 d'iOS, ainsi que les versions 10.14.16 de macOS Mojave avec Safari 13.1 et 10.15.5 de macOS Catalina avec Safari 13.1.1, étaient toutes affectées. Et qu'il n'y avait actuellement aucune correction disponible pour ce problème.
Espérons donc qu'en rendant ses conclusions publiques, Wylecial aura fini par convaincre Apple d'accélérer la correction de cette faille de sécurité ainsi que d'autres bugs divulgués par d'autres experts.
Via ZDNet
