Des vulnérabilités critiques menacent les produits Apple tels que l'iPhone, l'iPad, le Mac et l'Apple Watch. Il est impératif d'installer rapidement les correctifs.
Le Citizen Lab a mis en lumière une attaque baptisée BLASTPASS, qui a déjà été utilisée par des pirates pour cibler l'appareil d'un employé d'une ONG basée à Washington. Les analystes canadiens ont identifié une vulnérabilité de type "zero-click" utilisée pour propager Pegasus, le redoutable logiciel espion de NSO. Pour orchestrer cette série d'attaques, les pirates ont exploité deux failles, référencées sous les CVE-2023-41064 et CVE-2023-41061.
Cette attaque, connue sous le nom de BLASTPASS, tire parti d'une vulnérabilité de PassKit, une bibliothèque utilisée pour gérer les transactions dans Apple Pay et pour accéder à Apple Wallet. Elle se déroule en plusieurs étapes bien orchestrées.
Les pirates commencent par envoyer un message via la technologie iMessage d'Apple, qui contient une pièce jointe. Cette pièce jointe, en apparence une simple image, est en réalité une image modifiée pour exécuter un code malveillant. Une fois que cette pièce jointe est ouverte par la victime, les cybercriminels acquièrent un accès complet à l'appareil de la personne visée.
La gravité de BLASTPASS réside dans sa capacité à cibler des dispositifs iOS, y compris la dernière version du système d'exploitation, iOS 16.6, sans nécessiter aucune action de la part de la victime.
Cette attaque peut potentiellement affecter tous les iPhone 8, les iPad de 5e génération, les iPad Air de 3e génération, les Mac fonctionnant sous macOS Ventura, ainsi que les Apple Watch de la Series 9 à la Series 4, ainsi que toutes les versions les plus récentes de ces produits. Il est fortement recommandé à tous les détenteurs de ces appareils de procéder à la mise à jour de leurs systèmes dès que possible pour se protéger contre cette menace.
La mise en œuvre de BLASTPASS suggère que les pirates ont exploité les vulnérabilités CVE-2023-41064 et CVE-2023-41061 pour cibler spécifiquement des utilisateurs hautement ciblés. Cette attaque souligne une fois de plus que la société civile est exposée à des exploits sophistiqués et à des logiciels espions mercenaires. Apple a réagi en déployant des correctifs de sécurité pour remédier à ces failles critiques, il est donc essentiel que les utilisateurs mettent à jour leurs appareils pour renforcer leur sécurité.