Apple a profité d’iOS 15.0.2, qui est disponible depuis le 11 octobre, pour boucher une faille de sécurité de type zero-day. Cette faille aurait pu être utilisée par des applications pour accéder à des données sensibles de l’iPhone. Le problème est qu’Apple n’a pas crédité l’auteur de la découverte, à savoir le chercheur en sécurité Denis Tokarev.

iOS 15 Logo

Une faille de sécurité bouchée… sans citer l’auteur de la découverte

C’est la deuxième fois qu’Apple fait mal travail avec Denis Tokarev. Le chercheur en sécurité avait pris la parole en septembre pour révéler qu’il avait trouvé des failles de sécurité et qu’il avait fait le nécessaire pour les rapporter à Apple au printemps. Apple a plus ou moins fait la sourde oreille et il se trouve que les failles sont présentes dans iOS 14 et iOS 15. L’une d’entre elles a justement été corrigée avec iOS 15.0.2.

Avec la faille en question, qui a pour nom Gamed, tout application installée à partir de l’App Store peut accéder à plusieurs données sans l’accord nécessaire de l’utilisateur. Cela inclut l’identifiant Apple, le nom/prénom, un token facilitant la connexion au compte, la liste des contacts, les photos de la liste des contacts et plus encore.

Apple avait présenté ses excuses en septembre concernant son manque de communication avec Denis Tokarev pour les failles d’iOS. Mais le fabricant l’a seulement fait après plusieurs articles sur différents sites.

Un non-respect pour les chercheurs

Tout cela ne donne pas une bonne image d’Apple auprès de la communauté des chercheurs en sécurité, surtout que plusieurs d’entre eux critiquent les choix. Certains pourraient préférer vendre les failles à des sociétés spécialisées, plutôt que les communiquer à Apple au vu du traitement accordé. Dans le cas de Denis Tokarev, deux failles ont été corrigées (avec iOS 14.7 et iOS 15.0.2), mais il n’est pas crédité. Il y a deux autres failles qui sont toujours présentes dans iOS 15, bien qu’elles sont signalées depuis le printemps.