Avec la publication d'iOS 9.2.1 en début de semaine, Apple a comblé treize vulnérabilités de sécurité. Parmi celles-ci, une a été découverte et communiquée à la firme à la pomme par des chercheurs en sécurité de Skycure.

iOS 9 iPhone iPad Elle affectait Websheet qui est un composant généralement utilisé avec des hotpots Wi-Fi publics nécessitant une page de connexion spéciale. Une fenêtre de connexion est automatiquement affichée à l'écran afin de permettre une connexion au réseau par le biais d'une interface HTTP.

Skycure avait mis au jour le fait que le navigateur embarqué et utilisé par de tels portails dits captifs créait une vulnérabilité en partageant son magasin de cookies (les cookies sont stockés dans un magasin placé dans la session HTTP) avec Safari qui est le navigateur natif avec iOS.

Avec des attaquants créant un réseau Wi-Fi public dans l'attente de victimes, cette vulnérabilité ouvrait la voie à du vol des cookies HTTP d'utilisateurs associés à un site, le chargement de code JavaScript malveillant (puisque le magasin de cookies est partagé). Autre scénario envisagé, des attaques par empoisonnement de cache sur un site Web au choix de l'attaquant. Du code JavaScript malveillant aurait alors pu être exécuté à chaque fois que la victime se connectait ultérieurement à ce site avec Safari.

Dans son avis de sécurité pour iPhone, iPad et iPod touch, Apple a simplement écrit qu'un " portail captif malveillant peut accéder aux cookies de l'utilisateur " et que le problème a été corrigé grâce à un " magasin de cookies isolé pour tous les portails captifs ". Simple en apparence mais en réalité pas tant que cela.

La vulnérabilité avait été signalée à Apple le 3 juin 2013 ! Skycure, qui avait déjà rapporté d'autres vulnérabilités à Apple, souligne que la firme à la pomme n'avait jamais mis autant de temps pour produire un patch. " La correction était plus compliquée qu'on ne l'imagine. "

Heureusement, Skycure a fait preuve d'une grande patience et n'a pas versé dans la divulgation publique (full disclosure) de sa trouvaille. Ce n'est pas toujours le cas avec des chercheurs en sécurité qui préfèrent tout dire afin de faire accélérer les choses. Un vieux débat dans le monde de la sécurité informatique...