Publié le 6 janvier 2022, 12:45
Un chercheur en sécurité appelé Trevor Spiniolas vient de publier des informations sur un bogue qui, selon lui, existe dans le système d’exploitation iOS d’Apple depuis au moins la version 14.7.
Le bug affecte l’app Home, le logiciel de domotique d’Apple qui permet de contrôler les appareils domestiques – webcams, sonnettes, thermostats, ampoules, etc. – qui prennent en charge l’écosystème HomeKit d’Apple.
M. Spiniolas a baptisé le bogue doorLock, lui donnant à la fois un logo et une page Web dédiée, affirmant que, bien qu’il l’ait divulgué à Apple en août 2021, les tentatives de la société pour le corriger ont été incomplètes jusqu’à présent, et que la date limite qu’il avait fixée au 1er janvier 2022 pour « mettre en ligne » les détails de la faille est maintenant dépassée :
Je pense que ce bogue est traité de manière inappropriée car il présente un risque sérieux pour les utilisateurs et plusieurs mois se sont écoulés sans qu’un correctif complet ne soit apporté. Le public devrait être informé de cette vulnérabilité et de la manière de l’empêcher d’être exploitée, plutôt que d’être maintenu dans l’ignorance.
C’est à vous de décider si ce bogue présente vraiment un « risque grave », mais dans cet article, nous vous expliquons comment régler le problème.
La bonne nouvelle, c’est que ce bug ne permet pas aux attaquants d’espionner votre téléphone (ou vos appareils HomeKit), de voler des données telles que des mots de passe ou des messages personnels, d’installer des logiciels malveillants, d’accumuler des frais en ligne frauduleux ou de s’immiscer dans votre réseau.
Il existe également des moyens simples d’éviter de se faire piquer par ce virus en attendant qu’Apple propose une solution complète.
La mauvaise nouvelle, c’est que si un attaquant vous incite à déclencher le bug, vous risquez de vous retrouver avec un téléphone si peu réactif que vous devrez réinitialiser le firmware pour pouvoir accéder à nouveau à l’appareil.
Et, comme vous le saviez probablement déjà – ou, si vous ne le saviez pas, vous le savez maintenant ! – l’utilisation de Device Recovery ou DFU (une mise à jour directe du firmware, qui consiste à réinitialiser complètement le firmware d’un iDevice récalcitrant via un câble USB) efface d’abord automatiquement toutes vos données personnelles.
L’effacement de vos données lors de la réinitialisation de l’appareil est une fonctionnalité, pas un bug : cela empêche les voleurs de s’emparer de votre téléphone, d’effectuer une réinitialisation matérielle et un DFU, puis de lire les anciennes données de l’appareil qu’ils viennent de» récupérer « . L’effacement de vos données est rapide et fiable car les appareils mobiles Apple chiffrent toujours vos données, même si vous ne définissez pas votre propre code de verrouillage, à l’aide d’une phrase de passe choisie au hasard et conservée dans un espace de stockage sécurisé. Il suffit donc d’effacer cette phrase de passe de l’appareil pour rendre toutes vos données inutilisables en une seule fois, sans avoir à attendre l’écrasement de toute la mémoire flash de l’appareil et sans avoir à se demander si des données non cryptées ont été oubliées.
Quels sont les appareils concernés ?
Spiniolas ne le dit pas, mais nous supposons que ce même bug est présent dans iPadOS, qui a été livré séparément d’iOS depuis la version 13, mais toujours avec un numéro de version correspondant. Voir l’article : Investir sur la crypto Ripple : doit-on acheter du XRP en ce moment ?.
Nous ne savons pas non plus jusqu’à quand remonte ce bug : comme nous l’avons mentionné plus haut, Spiniolas indique» à partir d’iOS 14.7 « , ce qui, selon nous, est la première version qu’il a pu tester.
Apple n’autorise pas la mise à niveau des iPhones et des iPads, afin d’empêcher les pirates informatiques de revenir à des versions d’iOS connues pour être défectueuses, dans le but de réintroduire des failles de sécurité exploitables.
En lien avec cet article :Une entreprise japonaise de grille-pain lance la fabrication du smartphone le plus unique de l'annéeQuelle est la cause du bug ?
Selon la description donnée par Spiniolas, le bug se déclenche si l’application Home d’Apple rencontre un appareil HomeKit sous sa responsabilité avec un nom énormément long, par exemple 90 000 caractères ou plus. Sur le même sujet : Les meilleurs VPN Windows 10 pour PC en 2021.
Cela fait ressembler ce bogue à un débordement de tampon à l’ancienne, où plus de données sont enregistrées dans la mémoire que ce qui avait été alloué à l’origine dans le pire des cas, provoquant au mieux le plantage du programme incriminé, et au pire le poussant à se comporter de façon contrôlable.
Le premier résultat – un plantage pur et simple – conduit généralement à un bug de déni de service (DoS), dans lequel les attaquants peuvent délibérément planter une application, éventuellement à plusieurs reprises, pour causer des désagréments ou des problèmes.
Cette dernière issue, où les attaquants conservent un contrôle suffisant sur le crash pour prendre complètement le contrôle du programme bogué et remplacer le programme en cours d’exécution par un logiciel non fiable de leur choix, est connue sous le nom d’exécution de code à distance (RCE).
Le RCE est généralement utilisé pour implanter des logiciels espions ou des logiciels malveillants, et constitue clairement un danger bien plus grave que le DoS.
Pour l’instant, il n’y a aucune indication que le crash de Spiniolas pourrait être utilisé de manière fiable pour un exploit RCE complet, ou même qu’il pourrait conduire à un RCE du tout.
Mais le fait que les cybercriminels savent maintenant où commencer à chercher rend ce bug doublement intéressant à éviter.
Comment le bug se déclenche-t-il ?
Si vous renommez délibérément l’un des appareils domestiques de votre réseau HomeKit pour qu’il ait un nom d’environ 100 000 caractères ou plus (Spiniolas a utilisé diversement 500 000 et 90 000 caractères dans ses expériences), l’application Home se bloquera apparemment lorsqu’elle tentera ensuite de traiter l’appareil au nom bizarre, et finira par se planter. A voir aussi : Barbie Fashionista Dressing Deluxe à moins de 70 euros lors du Black Friday !.
Selon Spiniolas, Apple a récemment apporté un correctif à l’application Home afin d’empêcher de renommer les appareils pour qu’ils aient des noms absurdement longs.
Mais le correctif n’empêche apparemment pas la dernière version de l’application de mal réagir aux appareils qui ont déjà des noms trop longs, et n’empêche évidemment pas les mécréants d’utiliser des appareils qui n’ont pas été patchés pour attraper les applications qui l’ont été.
Spiniolas n’est pas clair sur cette question, mais nous avons déduit de son rapport que bien que les versions non patchées de l’application Home se plantent parfois en essayant de définir un nom de périphérique HomeKit extra-long, elles ne se plantent pas toujours, ou se plantent seulement après que le nom extra-long ait été appliqué. Spiniolas a également montré comment créer une application iOS unique que vous pouvez installer localement sur votre propre appareil, à l’aide d’un compte de développeur Apple, pour renommer les appareils HomeKit de manière non réglementée, que votre appareil soit patché ou non. Donc, même si vous n’êtes pas en mesure de définir vous-même des noms d’appareils HomeKit ultra-longs, vous devez supposer que les attaquants le peuvent.
Problèmes avec le centre de contrôle
Malheureusement, explique M. Spinioloas, si vous avez activé l’application Home dans le centre de contrôle d’Apple (le système de menu toujours disponible que vous pouvez faire apparaître à tout moment en faisant glisser le curseur depuis le haut ou le bas de l’écran, selon la version de votre iPhone), l’application se chargera automatiquement en arrière-plan chaque fois que vous démarrerez votre téléphone.
En lien avec cet article :IPhone 13 Pro : la dernière bêta d'Apple corrige la confusion du mode macroCela signifie que votre appareil peut se retrouver dans une boucle permanente de « verrouillage-crash-essai-répétition-blocage-crash-ad-infinitum » qui le rend inutilisable avant que vous n’ayez le temps d’accéder au menu Paramètres et de supprimer Home du Centre de contrôle.
Vous pouvez reprendre le contrôle du Centre de contrôle en accédant à l’application Paramètres, mais vous devez d’abord reprendre le contrôle du Centre de contrôle pour pouvoir accéder à l’application Paramètres.
C’est pourquoi Spiniolas affirme que la seule façon de sortir de ce dilemme est d’effectuer un Recover ou un DFU sur l’appareil qui ne répond pas.
Comme cette opération supprime toutes vos données personnelles, l’application Home n’aura plus aucun nom de périphérique HomeKit à afficher jusqu’à ce que vous vous connectiez à votre compte iCloud pour la première fois et que vos détails HomeKit soient retéléchargés sur votre téléphone.
Cela vous donne la possibilité, avant que votre téléphone ne se voit présenter des noms de périphériques HomeKit qui provoquent des collisions, d’accéder à l’application Paramètres et de supprimer l’application Maison de l’écran du Centre de contrôle.
Pour renommer les appareils incriminés afin d’en reprendre le contrôle en toute sécurité, M. Spiniolas suggère d’installer une application personnalisée (il propose un exemple de code que vous pouvez utiliser « à vos risques et périls » sur sa page GitHub) à l’aide d’un compte Apple Developer et d’utiliser cette application pour effectuer le renommage.
Que faire ?
Nous considérons qu’il est extrêmement improbable que vous déclenchiez ce bogue par inadvertance sur votre propre réseau HomeKit, étant donné qu’il est peu probable que vous copiez-colliez par erreur un nom de périphérique absurde dans l’application Home et que vous appuyiez délibérément sur [Enregistrer] pour intégrer ce nom bizarre dans votre configuration HomeKit.
Donc la façon la plus probable de se débarrasser de vous est soit.. :
En d’autres termes, il est facile d’atténuer ce problème :
Prochaines étapes
N’étant pas nous-mêmes des adeptes de la domotique, nous ne disposons pas d’un compte iCloud ou d’un réseau HomeKit pour nous exercer.
Par conséquent, nous ne pouvons pas vous dire s’il existe un moyen de gérer les appareils HomeKit à partir de votre navigateur, ou d’un appareil non-Apple, ce qui permettrait d’éviter l’application Home, qui présente des défauts…