Deux importantes failles dans WebKit viennent d’être corrigées par Apple, qui les diffuse dans trois mises à jour à destination de ses plateformes, exception faite de tvOS.

Ces failles sont de type 0-day, signifiant qu’elles étaient déjà connues au moment de leur correction. Dans son bulletin de sécurité, Apple précise même qu’elles sont activement exploitées. Il est donc recommandé d'installer ces mises à jour sans attendre.

Estampillées CVE-2021-30663 et CVE-2021-30665, les brèches sont exploitées pour déclencher à distance des exécutions arbitraires de code, soit le pire des scénarios. On ne sait pas qui a découvert la première, la seconde ayant été signalée par les chercheurs chinois en sécurité de chez Qihoo 360.

Notez qu’iOS et iPadOS 14.5.1 corrigent également un bug « lié à la transparence du suivi des apps qui empêche certains utilisateurs ayant précédemment désactivé "Autorisation du suivi par les apps" dans Réglages de recevoir des demandes de la part d’apps après avoir réactivé l’option ».