Apple a proposé aujourd’hui iOS 16.4.1 sur iPhone, iPadOS 16.4.1 sur iPad et macOS 13.3.1 sur Mac avec des correctifs. Il se trouve que les mises à jour bouchent aussi des failles de sécurité déjà exploitées par des hackers.

iOS 16 Logo

Que ce soit sur iOS 16.4.1 ou macOS 13.3.1, les deux failles de sécurité exploitées par des hackers sont les mêmes. La première a pour référence CVE-2023-28206 et concerne IOSurfaceAccelerator. Apple explique qu’une application peut être en mesure d’exécuter un code arbitraire avec les privilèges du noyau. Un problème d’écriture hors limites a été résolu grâce à une meilleure validation des entrées.

La seconde faille a pour référence CVE-2023-28205 et touche WebKit, le moteur de rendu de Safari (et des autres navigateurs Internet sur iOS). Le traitement d’un contenu web malveillant peut entraîner l’exécution d’un code arbitraire. Un problème d’utilisation après libération a été résolu grâce à une meilleure gestion de la mémoire.

Dans les deux cas, les failles ont été découvertes par Clément Lecigne de l’équipe Threat Analysis chez Google et Donncha Ó Cearbhaill du Security Lab d’Amnesty International.

Il est donc conseillé de mettre à jour dès maintenant vos appareils. macOS 13.3.1 corrige un bug où les Emoji de mains qui poussent d’un côté ou de l’autre n’étaient pas disponibles dans les différentes couleurs de peau, et un autre bug où le déverrouillage automatique de votre Mac avec l’Apple Watch pouvait ne pas fonctionner. Pour iOS 16.4.1, on retrouve aussi le correctif pour les Emoji et un autre où Siri ne répondait pas aux commandes.