Apple a publié un correctif de sécurité pour deux failles critiques référencées sous CVE-2023-41064 et CVE-2023-41061. Ces vulnérabilités zéro-day sont d’autant plus graves que, selon la compagnie même, elle a déjà été exploitée. 

Le Citizen Lab a découvert une attaque, baptisée BLASTPASS, que les pirates ont déjà exécutée pour cibler « l’appareil de l'employé d'une ONG basée à Washington ». Les analystes canadiens ont ainsi découvert une vulnérabilité de type « zero-click » utilisée pour diffuser Pegasus, le redoutable logiciel espion de NSO. Pour mettre en place cette chaîne d’attaque, les hackers ont exploité deux failles, CVE-2023-41064 et CVE-2023-41061.

À lire — Le FBI admet avoir testé le logiciel espion Pegasus

Cette attaque exploite notamment un bug de PassKit, une librairie qui permet de traiter les paiements dans Apple Pay et d’accéder à Apple Wallet et se déploie en plusieurs phases. Les hackers envoient tout d’abord un message contenant une pièce jointe à leur cible à travers la technologie de texto iMessage, propre à Apple. Le fichier est en fait une image modifiée pour exécuter un code malveillant qui permet aux cybercriminels de prendre le contrôle de l’appareil de la victime.

Apple déploie des correctifs de sécurité pour 2 failles critiques, faites les mises à jour

La mise en œuvre d’une attaque telle que BLASTPASS laisse penser que les pirates ont exploité les bugs CVE-2023-41064 et CVE-2023-41061 pour piéger des utilisateurs très ciblés, et comme le souligne Citizen Lab, « elle montre une fois de plus que la société civile est la cible d’exploits très sophistiqués et de logiciels espions mercenaires ».

À lire — Pegasus a trouvé son successeur, un nouveau malware espionne les journalistes et opposants politiques

BLASTPASS est d’autant plus redoutable qu’elle peut cibler des iPhone tournant sous la version la plus récente du système d'exploitation, iOS 16.6 « sans aucune interaction de la victime » et peut virtuellement atteindre tous les iPhone 8, les iPad de 5e génération, les iPad Air 3e génération, les Mac tournant sous macOS Ventura, les Apple Watch Series 9 à Series 4 et toutes les versions les plus récentes de ces produits. De manière générale, si vous en possédez un, ou plusieurs, effectuez la mise à jour au plus vite.