La CISA a ajouté CVE-2024-27834 d'Apple à son catalogue des vulnérabilités exploitées connues (KEV) après des rapports d'exploitation active. La faille est un contournement de l'authentification par pointeur, et les attaques l'utiliseraient pour diffuser un logiciel malveillant de vol d'informations. Le détail important est qu'Apple a déjà corrigé ce bug en 2024. Si vos appareils sont à jour, le risque pratique est faible. S'ils ne le sont pas, installer la mise à jour contre le voleur d'informations Apple CVE-2024-27834 est la chose la plus utile que vous puissiez faire aujourd'hui.

Ce que dit la CISA à propos de CVE-2024-27834

Le catalogue KEV de la CISA est une liste de vulnérabilités connues pour être exploitées dans de véritables attaques. Les entrées signalent qu'une faille est passée d'un risque théorique à une menace active, ce qui explique pourquoi l'agence utilise cette liste pour pousser les organisations à corriger rapidement. L'ajout de CVE-2024-27834 fait suite à des rapports d'attaques diffusant un logiciel malveillant de vol d'informations.

Le bug est un contournement de l'authentification par pointeur. L'authentification par pointeur est une protection qui rend plus difficile pour les attaquants de falsifier la façon dont le code s'exécute en mémoire, donc un contournement affaiblit une couche de défense. Selon la National Vulnerability Database, Apple a corrigé le problème avec des vérifications améliorées. Les notes de sécurité de Safari 17.5 d'Apple listent le bug comme un problème WebKit et créditent Manfred Paul, travaillant avec le Zero Day Initiative de Trend Micro. L'entrée NVD date du 14 mai 2024 et liste des correctifs dans Safari 17.5, iOS 16.7.8 et iPadOS 16.7.8, ainsi qu'iOS 17.5 et iPadOS 17.5, entre autres versions.

En bref, il ne s'agit pas d'une faille toute nouvelle. C'est une faille plus ancienne, déjà corrigée, que les attaquants trouvent encore utile.

Ce que prennent les voleurs d'informations et pourquoi les failles corrigées sont encore exploitées

Les voleurs d'informations sont des logiciels malveillants conçus pour collecter discrètement des données sur un appareil infecté et les envoyer à l'attaquant. Selon la variante, les cibles incluent couramment les mots de passe enregistrés, les données du navigateur et les informations de session. L'article source ne détaille pas exactement ce que cette campagne dérobe, considérez donc cela comme une description générale de la catégorie de logiciels malveillants plutôt que comme une conclusion sur cette attaque spécifique.

Pourquoi les attaquants s'embêteraient-ils avec une faille corrigée il y a longtemps ? Parce que la correction est inégale. Les téléphones, tablettes et Mac plus anciens restent non mis à jour pendant des mois ou des années, que ce soit parce que les gens reportent les invites, que les appareils sont partagés ou que le matériel ne fait plus tourner les derniers logiciels. Les attaquants savent qu'un correctif disponible n'est pas la même chose qu'un correctif installé. Un exploit connu et fiable contre des appareils non corrigés coûte moins cher que d'en développer un nouveau.

Ce schéma est familier dans l'industrie. Les logiciels de confiance et les habitudes de mise à jour de confiance sont le véritable champ de bataille, comme nous l'avons vu lorsqu'un zero-day a transformé un outil de sécurité d'une banque coréenne en arme. Les logiciels sur lesquels les gens comptent pour leur sécurité peuvent devenir le point d'entrée lorsqu'ils ne sont pas maintenus sous contrôle.

Comment protéger votre iPhone et votre iPad dès maintenant : la mise à jour contre le voleur d'informations Apple CVE-2024-27834

Le correctif est simple, et cela prend quelques minutes.

  1. Ouvrez Réglages, puis Général, puis Mise à jour du logiciel. Installez ce qui est proposé. Passer à la version la plus récente disponible pour votre appareil est préférable de s'arrêter à la version minimale qui a corrigé ce bug, car les mises à jour ultérieures contiennent d'autres correctifs de sécurité.
  2. Activez les mises à jour automatiques. Dans le même menu, activez l'installation automatique afin que les futurs correctifs arrivent sans que vous ayez à y penser.
  3. Mettez aussi à jour Safari et votre Mac. L'entrée NVD liste Safari et macOS parmi les produits affectés, vérifiez donc Réglages Système sur tout Mac que vous utilisez.
  4. Vérifiez les appareils plus anciens. Si un iPhone ou un iPad ne peut plus recevoir la dernière version majeure, vérifiez s'il dispose d'une mise à jour de sécurité pour sa propre version. Apple a publié iOS 16.7.8 et iPadOS 16.7.8 pour le matériel plus ancien. Si un appareil ne reçoit plus de mises à jour, envisagez de le retirer des tâches sensibles comme les opérations bancaires.

Où un VPN aide et où il n'aide pas

Un VPN chiffre votre trafic entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous visitez. C'est utile sur le Wi-Fi public et pour la confidentialité générale. Ce n'est pas un correctif.

Cette faille réside dans la façon dont le logiciel d'Apple gère le code sur votre appareil. Un VPN ne répare pas cela, et il n'empêche pas un logiciel malveillant déjà en cours d'exécution de lire les données stockées localement. Si un voleur d'informations s'installe sur un appareil non corrigé, le tunnel par lequel transite votre trafic ne l'empêchera pas de collecter ce qui se trouve sur l'appareil. Certaines applications VPN incluent un blocage optionnel des liens ou des logiciels malveillants, mais ces fonctionnalités varient et ne doivent pas remplacer la mise à jour.

Considérez un VPN comme une couche de confidentialité, et une mise à jour logicielle comme la couche qui ferme réellement cette porte spécifique.

Ce que cela signifie pour vous

Si vos appareils Apple sont entièrement à jour, vous êtes protégé contre cette faille particulière, et l'inscription de la CISA est surtout un rappel. Si vous avez ignoré les invites de mise à jour, c'est une bonne raison d'arrêter. La leçon plus importante concerne les identifiants volés. Les voleurs d'informations sont dangereux parce que les données qu'ils prennent peuvent être réutilisées sur d'autres comptes, donc une bonne hygiène de compte limite les dégâts même si quelque chose passe entre les mailles.

Points clés à retenir

  • Mettez à jour aujourd'hui. Installez les dernières mises à jour iOS, iPadOS, macOS et Safari et activez les mises à jour automatiques. C'est l'étape essentielle de la mise à jour contre le voleur d'informations Apple CVE-2024-27834.
  • Utilisez des mots de passe uniques pour chaque compte, idéalement via un gestionnaire de mots de passe, afin qu'un identifiant volé n'en déverrouille pas d'autres.
  • Activez l'authentification à deux facteurs partout où elle est proposée, en particulier pour l'e-mail, les opérations bancaires et votre compte Apple.
  • Ne comptez pas sur un VPN pour corriger une faille logicielle. Gardez-le pour ce qu'il fait bien, comme protéger le trafic sur des réseaux non fiables.
  • Restez méfiant envers les outils de confiance. Notre analyse du zero-day AnySign4PC est un autre exemple de logiciel familier devenant un vecteur d'attaque.

Vérifiez vos appareils Apple maintenant, installez les mises à jour en attente et consacrez dix minutes à examiner la sécurité de vos comptes. C'est la réponse la plus efficace à l'avertissement de la CISA.