iOS 15 : la correction de failles de sécurité négligées par Apple ?

Apple a ouvert à tous son programme de récompenses pour la découverte de failles de sécurité et revu les primes à la hausse en 2019. Cependant, celui-ci fait toujours l’objet de critiques de la part de la communauté infosec. Aujourd’hui, un expert en cybersécurité affirme qu’Apple ne lui aurait pas versé la prime prévue après qu’il ait rapporté une vulnérabilité 0-day d’iOS, corrigée depuis dans une mise à jour, et déclare qu’au moins 3 autres qu’il a signalées sont toujours présentes dans la dernière version d’iOS 15...

4 failles signalées et 1 correction dissimulée

Le chercheur en sécurité illusionofchaos a fait part de sa mauvaise expérience dans un article de blog, affirmant notamment qu’Apple avait été informé de la détection de la présence de pas moins de quatre importantes failles de sécurité « 0-day » dans iOS 14 depuis le mois de mars et que trois d’entre elles se trouvent toujours actuellement dans iOS 15...

Je souhaite partager la frustration que j’ai éprouvée en participant au Security Bounty Program d’Apple. J’ai signalé quatre vulnérabilités de type 0-day cette année entre le 10 mars et le 4 mai. À ce jour, trois d’entre elles sont toujours présentes dans la dernière version d’iOS (iOS 15.0) et une a été corrigée dans la version 14.7. Mais Apple a décidé de dissimuler cette dernière et de ne pas la répertorier dans les correctifs de sécurité de la mise à jour. Lorsque je les ai confrontés, ils se sont excusés, m’ont assuré que cela s’était produit en raison d’un problème de traitement de l’information et ont promis de la signaler dans les correctifs de sécurité de la prochaine mise à jour. Il y a eu trois mises à jour depuis lors et ils n’ont toujours pas tenu leur promesse.

illusionofchaos raconte que suite à cela il a encore demandé des explications à Apple et indiqué qu’il allait publier ses recherches — conformément aux directives de divulgation responsable — et Apple n’a toujours pas réagi.

Il y a dix jours, j’ai demandé des explications et j’ai alors averti que je rendrai mes recherches publiques si je restais toujours sans réponse de leur part. Ma demande a été totalement ignorée et je fais donc ce que j’ai prévenu que j’allais faire. Mes actions sont conformes aux directives de divulgation responsable (Google Project Zero divulgue les vulnérabilités 90 jours après les avoir signalées à l’entreprise). J’ai déjà attendu beaucoup plus longtemps, jusqu’à six mois dans un cas.

Vos données personnelles en danger avec iOS 15 ?

illusionofchaos a ainsi dévoilé tous les détails sur les trois autres vulnérabilités 0-day qu’ils a découvertes, à savoir « Gamed 0-day », « Nehelper Enumerate Installed Apps 0-day » et « Nehelper Wifi Info 0-day », y compris le code source qui apporte la preuve du concept.

Voici un aperçu de chacune d’elle :

Gamed 0-day

Toute application installée à partir de l’App Store peut accéder aux données suivantes sans que rien ne soit demandé à l’utilisateur :

• L’email correspondant à l’Apple ID et le nom complet qui lui est associé.
• Le jeton d’authentification Apple ID permettant d’accéder à au moins un des points de terminaison sur *.apple.com au nom de l’utilisateur.
• Accès complet au système de fichiers en lecture à la base de données Core Duet (contient une liste de contacts de Mail, SMS, iMessage, des applications de messagerie tierces et des métadonnées sur toutes les interactions de l’utilisateur avec ces contacts (y compris les horodatages et les statistiques), ainsi que certaines pièces jointes (comme les URL et les textes).
• Accès complet en lecture du système de fichiers à la base de données de la numérotation rapide et à la base de données du carnet d’adresses, y compris les photos des contacts et d’autres métadonnées comme les dates de création et de modification (après vérification celle-ci est inaccessible sous la dernière version d’iOS 15, elle a donc dû être corrigée récemment).

Nehelper Enumerate Installed Apps (0-day)

Cette vulnérabilité permet à n’importe quelle application installée par l’utilisateur de déterminer si une autre application est installée sur l’appareil compte tenu de son identifiant (Bundle ID).

Nehelper Wifi Info 0-day

Le point de terminaison XPC com.apple.nehelper accepte le paramètre sdk-version fourni par l’utilisateur, et si sa valeur est inférieure ou égale à 524288, la vérification de com.apple.developer.networking.wifi-infoentiltlement est ignorée. Cela permet à toute application qualifiée (par exemple, possédant une autorisation d’accès à la localisation) d’accéder aux informations Wifi sans les permissions requises. Cela se produit dans -[NEHelperWiFiInfoManager checkIfEntitled :] dans /usr/libexec/nehelper.

Vers une amélioration du Bug Bounty Program d’Apple ?

Si l’on souhaite remettre un peu les choses en perspective, notons que d’un côté Apple a déclaré que son programme de récompense pour les découvertes de failles de sécurité connaissait un « succès fulgurant », tandis que d’un autre côté la communauté infosec a fait part de diverses critiques et préoccupations concernant ce programme. Il s’agit notamment d’allégations selon lesquelles Apple ne répond pas ou dans des délais excessivement longs et selon lesquelles Apple ne payerait pas pour certaines failles découvertes qui répondent pourtant à toutes les conditions du programme pour le versement des primes.

Au début du mois, nous apprenions qu’Apple avait engagé un nouveau responsable pour son programme dans le but de le « réformer ».

Que pensez-vous de cette attitude d’Apple ? Vous sentez-vous en sécurité avec iOS ?

Via | Source