Apple publie la mise à jour iOS 12.1.4 qui corrige la faille de sécurité affectant la fonctionnalité FaceTime en groupe. Un gros bug permettait à un utilisateur d'écouter un correspondant sur iPhone (ou Mac) avant que ce dernier ne réponde à l'appel entrant.

Afin d'éviter une exploitation de la faille suite à sa médiatisation, Apple avait désactivé FaceTime en groupe côté serveur. Avec le patch désormais disponible, la restauration du service a été effectuée.

C'est en appelant un ami pour jouer à Fortnite qu'un adolescent américain du nom de Grant Thompson avait découvert ce bug " d'espionnage ", en balayant l'écran vers le haut et en ajoutant son propre numéro lors d'un appel en cours de numérotation.

Alors qu'Apple a fait de l'intégration de la confidentialité un argument commercial, cette affaire a mis en lumière un manquement assez spectaculaire dans le contrôle de la qualité d'une nouvelle fonctionnalité, sans compter une réponse tardive d'Apple qui avait été prévenu en amont.

La firme de Cupertino a bien évidemment présenté ses excuses, avec la promesse d'améliorer la manière dont les rapports pour des bugs sont traités, afin de les transmettre plus rapidement aux bonnes personnes. Grant Thompson a été crédité de la découverte du bug avec une récompense à la clé et Apple va offrir une bourse à sa famille pour ses études (Reuters).

Avec iOS 12.1.4, Apple corrige également d'autres bugs de sécurité, y compris en rapport avec FaceTime et une vulnérabilité affectant Live Photos qui n'avait pas été identifiée. " En plus de corriger le bug signalé, notre équipe a effectué un audit de sécurité approfondi du service FaceTime et a effectué des mises à jour supplémentaires de l'application FaceTime et du serveur pour améliorer la sécurité ", a déclaré un porte-parole d'Apple.

À noter qu'une mise à jour supplémentaire de macOS Mojave 10.14.3 apporte les mêmes correctifs. En outre, les serveurs vont bloquer la fonctionnalité Live Photos de FaceTime pour les anciennes versions d'iOS et macOS.

Un chercheur en sécurité de Google (Project Zero) indique par ailleurs que deux vulnérabilités corrigées dans iOS 12.1.4 ont été exploitées dans la nature (des 0day). Il n'en dit pas plus au sujet de ces vulnérabilités affectant le framework Foundation et IOKit.