La mise à jour iOS 17.4 est singulière en raison de la mise en œuvre par Apple de changements pour s'adapter au Digtal Markets Act (DMA) en Europe. Elle comprend également des corrections de vulnérabilités de sécurité, dont deux 0-day.
Pour les vulnérabilités CVE-2024-23225 et CVE-2024-23296, Apple rapporte des signalements d'une exploitation active dans des attaques qui sont antérieures à la disponibilité des correctifs. Les deux failles permettent de générer une corruption de mémoire dans le noyau et RTKit.
RTKit fait allusion au système d'exploitation en temps réel d'Apple qui est exécuté sur plusieurs puces de ses appareils et wearables.
Le mystère plane sur les attaques
" Un attaquant avec des capacités arbitraires de lecture et d'écriture dans le noyau peut être en mesure de contourner les protections de la mémoire du noyau ", écrit Apple sans entrer dans les détails. La découverte des deux vulnérabilités 0-day n'est pas attribuée à des chercheurs en sécurité tiers.
Comme souvent, il est probable que l'exploitation active des vulnérabilités entre dans le cadre d'attaques très ciblées. Pour autant, il faut agir sans tarder et appliquer les correctifs prodigués par Apple.
Les vulnérabilités CVE-2024-23225 et CVE-2024-23296 sont également corrigées dans iPadOS 17.4. Pour ce début d'année 2024, Apple porte à trois son total de vulnérabilités 0-day corrigées.
