Apple a confirmé aujourd’hui que les mises à jour de sécurité d’urgence publiées lundi pour résoudre un bogue zero-day exploité lors d’attaques interrompent également la navigation sur certains sites Web. De nouveaux seront bientôt publiés pour résoudre ce problème connu, indique la société.
Bien qu’Apple n’ait pas expliqué pourquoi les sites Web concernés n’étaient pas rendus correctement, cela se serait produit après que la détection de l’agent utilisateur de certains services (c’est-à-dire Zoom, Facebook et Instagram) ait été interrompue et que les sites Web aient commencé à afficher des erreurs dans Safari sur patché. dispositifs.
Par exemple, après avoir appliqué les mises à jour RSR sur un appareil iOS, le nouvel agent utilisateur contenant une chaîne « (a) » est « Mozilla/5.0 (iPhone ; CPU iPhone OS 16_5_1 comme Mac OS X) AppleWebKit/605.1.15 (KHTML, comme Gecko) Version/16.5.2 (a) Mobile/15E148 Safari/604.1 », qui empêche les sites Web de le détecter comme une version valide de Safari, affichant ainsi des messages d’erreur de navigateur non pris en charge.
« Apple est au courant d’un problème où les récentes réponses rapides de sécurité pourraient empêcher certains sites Web de s’afficher correctement », indique la société dans un document d’assistance publié mardi.
« Rapid Security Responses iOS 16.5.1 (b), iPadOS 16.5.1 (b) et macOS 13.4.1 (b) seront bientôt disponibles pour résoudre ce problème. »
La société conseille aux clients qui ont déjà appliqué les mises à jour de sécurité boguées de les supprimer s’ils rencontrent des problèmes lors de la navigation sur le Web.
Sur les appareils iPhone ou iPad, vous pouvez le faire en appuyant sur « Supprimer la réponse de sécurité », puis en appuyant sur « Supprimer » pour confirmer dans Paramètres > À propos > Version iOS.
Les utilisateurs de Mac peuvent supprimer les mises à jour RSR en ouvrant le menu et en cliquant sur Plus d’informations dans « À propos de ce Mac ». Une fois là-bas, vous devez cliquer sur le bouton Info (i) à côté du numéro de version sous macOS, puis cliquer sur « Supprimer » et « Redémarrer ».
La faille zero-day (identifiée CVE-2023-37450) a été trouvée dans le moteur de navigateur WebKit d’Apple, et elle permet aux attaquants d’obtenir une exécution de code arbitraire en incitant les cibles à ouvrir des pages Web contenant du contenu conçu de manière malveillante.
« Apple est au courant d’un rapport selon lequel ce problème pourrait avoir été activement exploité », a déclaré la société dans les avis iOS et macOS décrivant la vulnérabilité CVE-2023-37450 corrigée dans les mises à jour de sécurité d’urgence d’hier.
« Cette réponse rapide de sécurité fournit des correctifs de sécurité importants et est recommandée pour tous les utilisateurs », a averti Apple aux clients sur les appareils sur lesquels les correctifs RSR ont été livrés.
Depuis le début de l’année, Apple a corrigé un total de dix failles zero-day exploitées dans la nature pour pirater des iPhones, Mac ou iPads.
Par exemple, plus tôt ce mois-ci, Apple a abordé trois failles zero-day (CVE-2023-32434, CVE-2023-32435 et CVE-2023-32439) abusées lors d’attaques visant à installer des logiciels espions de triangulation sur les iPhones via des exploits sans clic iMessage.
Avant cela, la société a également corrigé :
- Trois autres zero-days (CVE-2023-32409, CVE-2023-28204 et CVE-2023-32373) en mai, le premier signalé par les chercheurs d’Amnesty International Security Lab et du Google Threat Analysis Group et probablement utilisé pour installer des logiciels espions mercenaires.
- Deux autres failles zero-day (CVE-2023-28206 et CVE-2023-28205) en avril ont été utilisées dans le cadre de chaînes d’exploitation de failles zero-day et n-day Android, iOS et Chrome pour déployer des logiciels espions sur des appareils appartenant à des – cibles de risque.
- et un autre WebKit zero-day (CVE-2023-23529) en février, exploité pour obtenir l’exécution de code sur les iPhone, iPad et Mac vulnérables.