La découverte récente de trois vulnérabilités au sein des fonctions AirDrop d’Apple soulève des inquiétudes sur la sécurité des appareils, tant iPhone que Mac. Ces failles permettent à un attaquant de provoquer des pannes dans des services essentiels, laissant les utilisateurs sans accès temporaire à des fonctionnalités courantes.
Les failles AirDrop et leur exploitation
Les chercheurs en sécurité ont mis en évidence que l’exploitation de ces vulnérabilités est relativement facile. Un attaquant peut se servir d’un ordinateur portable et se placer à proximité, souvent à une distance comprise entre 10 et 30 mètres. Il n’est pas nécessaire d’établir de pairage ou d’échanger des contacts, ce qui rend l’attaque encore plus accessible.
Les appareils Apple configurés pour recevoir des fichiers de “Tout le monde” répondent à des requêtes non authentifiées avant même que l’utilisateur ait eu la chance de réagir, mettant en lumière une lacune sérieuse.
Bien qu’aucune donnée ne puisse être volée à cause de ces failles, les conséquences restent préoccupantes, car plusieurs services Apple peuvent être désactivés à distance. L’impact est immédiat et frustrant pour les utilisateurs qui dépendent de ces fonctionnalités quotidiennes.
Une attaque en boucle destructrice
L’une des méthodes d’attaque les plus simples repose sur un appel fatalError dans le code. Lorsqu’un demandeur envoie une requête à un chemin non reconnu, cela interrompt tout le processus. Une simple requête peut faire tomber simultanément AirDrop, AirPlay, Handoff, le Presse-papiers universel et la caméra de continuité.
Testé dans un environnement contrôlé, le bombardement de requêtes en boucle a causé de nombreux échecs de connexion. Une fois l’attaque arrêtée, toutes les tentatives légitimes ont réussi à nouveau.
Arash Ebrahim, un expert en sécurité, a noté que ces vulnérabilités sont difficiles à éradiquer. Plusieurs systèmes sous-jacents partagent les mêmes défis d’ingénierie, surtout quand il s’agit de protocoles de proximité comme ceux utilisés par Apple et Google.
Réponses d’Apple et transparence
Ebrahim a suivi les bonnes pratiques de divulgation responsable en gardant certaines informations confidentielles jusqu’à ce qu’Apple et Google puissent proposer des correctifs. Selon lui, Apple a déjà résolu une des vulnérabilités et travaille encore sur les deux autres.
“Un des bugs d’AirDrop a été corrigé et possède maintenant un identifiant CVE,” a déclaré Ale Ebrahim. Cependant, d’autres informations restent classées en privé jusqu’à ce qu’un avis de sécurité soit émis.
La situation illustre parfaitement les défis que représente la sécurité dans un monde où les interactions entre appareils sont facilitées. La vigilance des chercheurs et la réactivité des entreprises sont essentielles pour maintenir la confiance des utilisateurs.