Le géant technologique Apple a publié un correctif pour deux vulnérabilités zero-day que des hackers ont utilisées pour exploiter des ordinateurs Mac basés sur Intel.

Selon l'avis du 19 novembre d'Apple, les deux vulnérabilités ont été « activement exploitées » et impliquent « le traitement de contenu web malicieusement conçu ».

Les vulnérabilités ont même attiré l'attention du co-fondateur et ancien PDG de Binance, Changpeng « CZ » Zhao, qui a averti les utilisateurs de mettre à jour leur technologie immédiatement pour éviter de tomber dans le piège de l'exploitation.

« Si vous utilisez un Macbook avec un processeur Intel, mettez à jour dès que possible ! » a-t-il déclaré.

Source : Changpeng Zhao

L'un des défauts, désigné par CVE-2024-44308 par Apple, peut déclencher le logiciel JavaScriptCore pour exécuter du code malveillant sans la connaissance ou la permission de l'utilisateur. Apple a déclaré que le problème avait été « résolu avec des vérifications améliorées. »

La deuxième vulnérabilité, CVE-2024-44309, peut provoquer une « attaque par injection de script inter-sites » via le moteur de navigateur WebKit d'Apple. Une cyberattaque de cette nature peut entraîner l'injection de code malveillant par des hackers dans d'autres sites web ou applications utilisées.

Apple a déclaré qu'il s'agissait « d'un problème de gestion des cookies » et a été résolu avec « une gestion d'état améliorée. »

Comme c'est souvent le cas, le géant technologique n'a pas « divulgué, discuté ou confirmé » les défauts jusqu'à ce qu'il ait enquêté et élaboré un correctif pour les corriger.

Une vulnérabilité zero-day est un bug ou une faiblesse que les hackers découvrent et exploitent avant que le développeur de logiciels ait eu la chance de corriger ou de traiter le problème, leur donnant « zéro jour » pour le résoudre.

Les détails supplémentaires sont rares. On ne sait pas qui est derrière le piratage, combien d'utilisateurs ont été affectés, ni si des cyberattaques ont été couronnées de succès.

Le géant technologique a mentionné les chercheurs en sécurité de Google, Clément Lecigne et Benoît Sevens, comme ceux qui ont trouvé les bugs.

Les deux proviennent du groupe d'analyse des menaces de l'entreprise, qui se concentre sur la lutte contre le piratage et les attaques soutenus par le gouvernement contre Google, ce qui pourrait suggérer que le coupable, dans ce cas, est un gouvernement hostile.

La Corée du Nord a ciblé les utilisateurs d'Apple plus tôt ce mois-ci. Le 12 novembre, des chercheurs ont surpris des hackers nord-coréens s'en prenant aux utilisateurs de macOS avec une nouvelle campagne de logiciels malveillants utilisant des courriels de phishing, de fausses applications PDF et une technique pour échapper aux vérifications de sécurité d'Apple.

Les chercheurs ont déclaré que c'était la première fois qu'ils voyaient ce type de technologie utilisé pour compromettre le système d'exploitation macOS d'Apple, mais ils ont découvert qu'elle ne pouvait pas fonctionner sur des systèmes à jour.

En octobre, des hackers nord-coréens ont également été surpris en train d'exploiter une vulnérabilité dans Google Chrome pour voler les identifiants de portefeuille crypto.

Magazine : La crypto a 4 ans pour croître si fortement que « personne ne peut la fermer » : Kain Warwick, Infinex