SLAP et FLOP : de nouvelles vulnérabilités affectent des millions d'appareils Apple

Des recherches récentes ont mis en lumière deux graves vulnérabilités de sécurité affectant les appareils Apple lancés ces dernières années. Connu sous le nom GIFLER (Attaques de spéculation via la prédiction d'adresse de chargement) et FIASCO (Fausses prédictions de sortie de charge), ces défaillances représentent un risque sérieux pour la Intimité des utilisateurs, permettant aux attaquants d'accéder information sensible.

Les deux vulnérabilités ont été découvertes par des experts en cybersécurité de l'Institut de technologie de Géorgie et de l'Université de la Ruhr à Bochum. Selon les recherches, ces défaillances sont présentes dans les appareils qui intègrent des processeurs Pomme M2 y A15, affectant les iPhones, iPads et Mac produits ces dernières années. Les vulnérabilités rappellent des problèmes de sécurité célèbres Meltdown y Spectre qui a eu un impact sur les processeurs de Intel et ARM il y a quelques années.

Comment fonctionnent SLAP et FLOP ?

GIFLER y FIASCO Ils profitent d’une technique appelée exécution spéculative, utilisé par les processeurs Apple pour anticiper certaines opérations et améliorer les performances. Essentiellement, cette méthode permet à la puce de prédire les données ou les instructions dont elle aura besoin ensuite, en les chargeant à l’avance.

D'une part, GIFLER exploite le prédicteur d'adresse de chargement du processeur, l'incitant à accéder à des zones de mémoire restreintes. Cela peut entraîner une fuite de données sensibles stockées sur votre appareil, telles que des e-mails ou des informations de navigation. D'autre part, FIASCO utilise une approche similaire mais avec une portée plus large, car elle peut avoir un impact sur plusieurs navigateurs, y compris Safari y Google Chrome, brisant les barrières de sécurité entre les onglets ouverts.

Ces vulnérabilités ne nécessitent pas accès physique à l'appareil. Les attaquants n'ont qu'à inciter l'utilisateur à visiter un site Web compromis, d’où ils peuvent extraire des informations sans que la victime ne les détecte.

Appareils concernés

La recherche a identifié une longue liste d’appareils vulnérables à GIFLER y FIASCO. Parmi eux se trouvent:

iPhone

• iPhone 13
• iPhone 14
• iPhone 15
• iPhone 16
• iPhone SE (2022)

iPad

• iPad Air (à partir de 2021)
• iPad Pro (à partir de 2021)
• iPad mini (à partir de 2021)

Mac

• MacBook Air (à partir de 2022)
• MacBook Pro (2022 et plus)
• Mac mini (à partir de 2023)
• Mac Studio (à partir de 2023)
• iMac (2023 et plus)
• Mac Pro (2023)

Tout appareil qui intègre les puces mentionnées est susceptible d'être engagé au cas où un attaquant exploiterait ces vulnérabilités.

Que dit Apple et comment se protéger ?

Apple a été informé de ces problèmes tout au long de l'année 2024 à deux reprises : en mars concernant GIFLER et en septembre environ FIASCO. Bien que l'entreprise ait reconnu le problème et remercié les chercheurs pour leur travail, à ce jour aucun correctif n'a été implémenté pour corriger ces failles. Selon Apple, ils ne considèrent pas que ces vulnérabilités présentent un risque immédiat pour les utilisateurs.

Malgré cela, les experts en cybersécurité recommandent de prendre des mesures préventives pour éviter d’éventuelles attaques. Maintenir tous les appareils à jour avec les dernières versions logicielles est l’un des moyens les plus efficaces de vous protéger. De plus, il est conseillé d'éviter de visiter sites Web non fiables et utiliser des navigateurs avec paramètres de confidentialité améliorés.

Vulnérabilités GIFLER y FIASCO reflètent les défis constants du secteur technologique pour garantir la sécurité des utilisateurs. Bien qu’aucune attaque réelle utilisant ces failles n’ait été signalée jusqu’à présent, il est crucial d’être vigilant et de suivre de bonnes pratiques de cybersécurité pour minimiser tout risque potentiel.