Apple a publié des mises à jour de sécurité qui rétroportent des correctifs pour les vulnérabilités activement exploitées qui étaient exploitées comme des jours zéro vers les anciennes versions de ses systèmes d’exploitation.
Dans le même temps, le géant de la technologie grand public a publié des mises à jour de sécurité pour les derniers iOS stables, iPadOS et macOS, corrigeant de nombreuses failles de sécurité.
Rétroportage des correctifs du jour zéro
Le premier rétroportage concerne CVE-2025-24200, une faille découverte par Citizen Lab qui a été exploitée par des outils médico-légaux mobiles pour désactiver le « mode restreint USB » sur les appareils verrouillés.
Apple a corrigé la faille dans iOS 18.3.1, iPadOS 18.3.1 et 17.7.5, publiée le 10 février 2025.
La deuxième vulnérabilité rétroportée vers les anciennes versions du système d’exploitation est CVE-2025-24201, qui permettait aux pirates de sortir du bac à sable de contenu Web sur le moteur WebKit à l’aide de contenu Web spécialement conçu.
Apple a averti que la faille avait été exploitée dans des attaques « extrêmement sophistiquées », la corrigeant le 11 mars 2025, avec la sortie d’iOS 18.3.2, iPadOS 18.3.2, macOS Sequoia 15.3.2, visionOS 2.3.2 et Safari 18.3.1.
Le fournisseur a maintenant incorporé des correctifs pour CVE-2025-24200 et CVE-2025-24201 dans iOS 16.7.11 et 15.8.4 et iPadOS versions 16.7.11 et 15.8.4.
La troisième faille corrigée sur les appareils plus anciens est CVE-2025-24085, un problème d’escalade de privilèges dans le framework multimédia principal d’Apple.
La firme a résolu le problème fin janvier 2025 avec la sortie d’iOS 18.3, iPadOS 18.3, macOS Sequoia 15.3, watchOS 11.3, visionOS 2.3 et tvOS 18.3.
Désormais, des correctifs pour CVE-2025-24085 ont été mis à disposition via iPadOS 17.7.6 et les versions macOS 14.7.5 (Sonoma) et 13.7.5 (Ventura).
Dernières mises à jour de sécurité
En plus des rétroportages, Apple a également publié des mises à jour de sécurité pour les dernières branches stables de ses systèmes d’exploitation et logiciels comme Safari et Xcode.
Plus précisément, la dernière mise à jour pour iOS 18.4 et iPadOS 18.4 corrige 77 vulnérabilités, dont CVE-2025-30456 (contournement du bac à sable de l’application permettant l’escalade des privilèges root), CVE-2025-24097 (accès arbitraire aux métadonnées de fichiers) et CVE-2025-31182 (suppression arbitraire de fichiers).
Sur macOS Sequoia 15.4, Apple a corrigé 123 vulnérabilités, dont CVE-2025-24228 (exécution de code arbitraire avec privilèges du noyau), CVE-2025-24267 (élévation de privilèges vers root) et CVE-2025-24178 (échappement du bac à sable).
Sur le dernier Safari 18.4, Apple a corrigé 13 failles, notamment CVE-2025-24213 (corruption de la mémoire WebKit), CVE-2025-30427 (utilisation de WebKit après libération) et CVE-2025 – 24180 (confusion des informations d’identification WebAuthn).
Bien qu’aucune faille zero-day activement exploitée n’ait été divulguée dans ces bulletins, les utilisateurs doivent appliquer les mises à jour dès que possible pour rester protégés contre les attaques.