Les puces Apple affectées par deux failles SLAP et FLOP ciblant Safari

Après la faille Core Media qui touche tous les appareils Apple, des étudiants de Georgia Tech ont découvert deux nouvelles vulnérabilités de sécurité, SLAP et FLOP, affectant les puces Apple récentes. Ces attaques d'exécution spéculative pourraient permettre aux attaquants d'espionner le contenu d'autres pages Web via un site malveillant, en accédant à des données sensibles telles que l'historique de navigation, les numéros de carte de crédit, les e-mails et les détails de localisation sans avoir besoin d'accéder physiquement à l'appareil.

Des failles utilisées dans les navigateurs

SLAP cible Safari, tandis que FLOP peut exploiter à la fois Safari et Chrome. Bien qu'il soit possible que d'autres navigateurs comme Firefox soient affectés, aucun test n'a été effectué. Il n'existe actuellement aucune preuve que ces vulnérabilités aient été exploitées dans des scénarios réels.

Concrètement, SLAP cible Safari en exploitant le prédicteur d'adresse de chargement (LAP) pour révéler des chaînes d'origine croisée en les plaçant à proximité de la mémoire.

En revanche, FLOP affecte à la fois Safari et Chrome via une attaque de confusion de type spéculative utilisant le prédicteur de valeur de chargement (LVP), lui permettant de contourner les contrôles d'intégrité de la structure des données et d'accéder à la mémoire à partir d'adresses arbitraires.

Ces vulnérabilités diffèrent dans leurs mécanismes d'exploitation ; LAP prédit les adresses mémoire en fonction de modèles, nécessitant une séquence d'apprentissage plus longue mais capable de reconnaître les foulées, tandis que LVP prédit les valeurs mémoire, permettant une exploitation plus rapide mais moins complexe.

Les vulnérabilités affectent divers modèles, notamment :

• Ordinateurs portables Mac à partir de 2022
• Ordinateurs de bureau Mac à partir de 2023
• iPads à partir de 2021
• iPhones à partir de 2021

Ces problèmes, impliquant les puces M2 et ultérieures d'Apple, ainsi que les puces A15 et ultérieures, ont été signalés à Apple en mai et septembre 2024. Bien qu'aucun correctif n'ait encore été publié, Apple s'est engagé à résoudre ces vulnérabilités dans une prochaine mise à jour. Il faudra surveiller iOS 18.4 et macOS 15.4 à venir.

Faut-il s'inquiéter ?

Dans une déclaration à Bleeping Computer, Apple a reconnu la découverte mais a minimisé la menace immédiate, en déclarant :

Nous tenons à remercier les chercheurs pour leur collaboration, car cette preuve de concept fait progresser notre compréhension de ce type de menaces. Sur la base de notre analyse, nous ne pensons pas que ce problème représente un risque immédiat pour nos utilisateurs.

Voici la réponse des chercheurs :

Des mesures matérielles et logicielles permettent de garantir que deux pages Web ouvertes sont isolées l'une de l'autre, empêchant l'une d'elles de lire (de manière malveillante) le contenu de l'autre. SLAP et FLOP brisent ces protections, permettant aux pages des attaquants de lire des données sensibles protégées par connexion à partir des pages Web ciblées. Dans notre travail, nous montrons que ces données vont de l'historique de localisation aux informations de carte de crédit.

Pour des informations plus détaillées sur le fonctionnement de ces attaques, visitez le site Web dédié expliquant les SLAP et FLOP.