iOS/iPadOS 14.5.1, macOS 11.3.1, watchOS 7.4.1 : Apple colmate deux vulnérabilités 0-day

Deux importantes failles dans WebKit viennent d’être corrigées par Apple, qui les diffuse dans trois mises à jour à destination de ses plateformes, exception faite de tvOS.

Ces failles sont de type 0-day, signifiant qu’elles étaient déjà connues au moment de leur correction. Dans son bulletin de sécurité, Apple précise même qu’elles sont activement exploitées. Il est donc recommandé d’installer ces mises à jour sans attendre.

Estampillées CVE-2021-30663 et CVE-2021-30665, les brèches sont exploitées pour déclencher à distance des exécutions arbitraires de code, soit le pire des scénarios. On ne sait pas qui a découvert la première, la seconde ayant été signalée par les chercheurs chinois en sécurité de chez Qihoo 360.

Notez qu’iOS et iPadOS 14.5.1 corrigent également un bug « lié à la transparence du suivi des apps qui empêche certains utilisateurs ayant précédemment désactivé « Autorisation du suivi par les apps » dans Réglages de recevoir des demandes de la part d’apps après avoir réactivé l’option ».