Charlie Miller découvre une faille de sécurité dans iOS 4.3

Charlie Miller, chercheur en sécurité, vient de découvrir une faille de sécurité sous iOS pour le moins inquiétante, puisqu'elle permet d'exécuter du code non autorisé par Apple.

Pour la petite histoire, notre homme a soumis son application Instastock au système de validation d'Apple, qui acceptera de la publier sur l'App Store. Or, l'application qui en apparence ne permet que de suivre le cours de la bourse, peut en réalité télécharger et exécuter des morceaux des lignes de code à distance, sans qu'Apple n'ai pu les voir lors de la validation.

Il est alors possible par ce stratagème de prendre le contrôle des iDevice ayant installé Instastock, pour par exemple, récupérer des données confidentielles, comme on peut le voir dans cette vidéo :

S'étant rendu compte de la "supercherie", Apple a retiré Instastock de l'App Store en un temps record et a même fermé le compte développeur de Charlie Miller, qui lui avait pourtant été offert par la firme pour faire des tests.

Il semblerait que la faille soit apparue dans l'iOS 4.3, et qu'elle soit liée à Safari et au JavaScript. En attendant qu'Apple corrige le tir, Charlie Miller n'en dira pas plus mais fera tout de même une démonstration lors de la conférence SysCan, la semaine prochaine à Taiwan.