Apple diffuse une nouvelle salve de mises à jour pour ces systèmes d'exploitation, avec notamment iOS 15.3, iPadOS 15.3 et macOS 12.2. Les notes de version indiquent que ces mises à jour sont recommandées pour tous les utilisateurs parce qu'elles contiennent des correctifs et améliorations en lien avec la sécurité. De nouvelles fonctionnalités ne sont donc pas au programme.

Comme attendu, il y a la correction de la vulnérabilité qui a fait parler d'elle en tant que SafariLeaks et signalée par Martin Bajanik de FingerprintJS fin novembre 2021. Elle a fait l'objet d'une divulgation publique le 14 janvier 2022 sous la référence CVE-2022-22594.

Elle affecte le composant WebKit Storage et Apple décrit un problème au niveau de la politique same-origin dans l'API IndexedDB pour permettre le stockage côté client de données sur le navigateur (avec des bases de données locales).

safari-15-faille-safarileaks-fingerprintjs Crédits : FingerprintJS

L'impact est la possibilité pour un site web utilisant l'API IndexedDB de pouvoir pister des utilisateurs - et des informations potentiellement sensibles - via un accès aux noms évocateurs des bases de données d'autres sites web. Cette faille de confidentialité concerne Safari (qui passe en version 15.3) et tous les autres navigateurs sur iOS et iPadOS dans la mesure où ils ont l'obligation d'utiliser le moteur de rendu WebKit.

Correction d'une vulnérabilité 0day

Parmi d'autres vulnérabilités de sécurité comblées, il est fait mention avec CVE-2022-22587 d'une exploitation active d'un bug de corruption de mémoire pouvant déboucher sur une exécution de code arbitraire avec des privilèges noyau sur des appareils compromis.

La découverte a été attribuée à un chercheur en sécurité anonyme, Meysam Firouzi (@R00tkitSMM) de MBition - Mercedes-Benz Innovation Lab, Siddharth Aeri (@b1n4r1b01).

À noter qu'au-delà des correctifs de sécurité, macOS 12.2 améliore la fluidité du défilement dans Safari sur des ordinateurs Mac avec des écrans ProMotion 120 Hz. Par ailleurs, l'application Music d'Apple devient une application native AppKit. Des mises à jour watchOS 8.4, tvOS 15.3 sont également disponibles.