Vulnérabilités Zero-Day d'Apple : Attaques Sophistiquées Ciblant des Individus Spécifiques via iOS

Apple a publié ce mercredi 16 avril 2025 des mises à jour critiques pour iOS, iPadOS, macOS et visionOS, corrigeant deux vulnérabilités zero-day exploitées dans des attaques qualifiées d'"extrêmement sophistiquées" contre des individus spécifiques. Ces failles, identifiées comme CVE-2025-24200 et CVE-2025-24201, ont permis aux attaquants de désactiver les protections matérielles et de s'échapper du sandbox du navigateur WebKit, respectivement. L'entreprise affirme que les attaques nécessitaient un accès physique aux appareils et étaient dirigées vers des utilisateurs de versions antérieures à iOS 17.2, suggérant une opération coordonnée par des acteurs disposant de ressources techniques avancées, possiblement liés à des agences gouvernementales ou à des groupes de surveillance.

Détails Techniques des Vulnérabilités

CVE-2025-24200 : Contournement du Mode USB Restreint

La première vulnérabilité, découverte par Bill Marczak du Citizen Lab, exploitait une faille dans la gestion des états d'autorisation d'iOS. Le Mode USB Restreint, fonctionnalité introduite en 2018 pour bloquer les transferts de données via câble après sept jours d'inactivité de l'appareil, a été compromis, permettant aux attaquants ayant un accès physique de contourner la protection même sur des appareils verrouillés. Cela faciliterait l'extraction non autorisée de données par des outils d'expertise comme Cellebrite ou GrayKey, largement utilisés par les agences d'application de la loi.

CVE-2025-24201 : Évasion du Sandbox WebKit

La deuxième faille résidait dans le moteur de rendu WebKit, utilisé par Safari et d'autres applications. En traitant du contenu malveillant, les attaquants pouvaient violer le Sandbox de Contenu Web, un environnement isolé qui limite l'accès aux ressources système. L'exploitation permettrait l'exécution de code à distance (RCE), l'élévation de privilèges et un contrôle potentiel total de l'appareil. Apple a corrigé des failles similaires dans des mises à jour précédentes, mais la récurrence suggère des défis continus dans la contenance de menaces ciblées.

Contexte des Exploitations : Cibles et Méthodes

Profil des Victimes

Bien qu'Apple ne précise pas les cibles, des rapports du Citizen Lab et d'Amnesty International associent des exploits similaires à des campagnes de surveillance contre des journalistes, des activistes et des dissidents politiques. Par exemple, en 2024, les autorités serbes ont utilisé des outils d'expertise pour pirater des appareils de défenseurs des droits de l'homme, en installant des malwares après avoir déverrouillé les appareils. L'utilisation par Apple du terme "individus spécifiques" indique une focalisation sur des profils de haut intérêt, dont les activités suscitent un intérêt étatique ou corporatif.

Modus Operandi des Attaques

Les attaquants comptaient sur un accès physique aux appareils, obtenu éventuellement par saisie ou vol. Une fois connecté à un appareil de déverrouillage forensic, l'exploit du Mode USB Restreint permettait de contourner les protections temporelles (comme le redémarrage automatique après 72 heures) et d'extraire des données sensibles. Parallèlement, le vecteur via WebKit pouvait être activé à distance par accès à des liens malveillants, étendant le risque au-delà du contact physique.

Impact sur la Sécurité des Appareils Apple

Vulnérabilités Chroniques dans l'Écosystème iOS

Il s'agit du troisième zero-day corrigé par Apple en 2025, après des failles critiques rapportées en janvier et février. La récurrence expose des dilemmes entre la complexité d'iOS et la pression pour des innovations. Des outils comme le Mode de Verrouillage, lancé en 2022 pour protéger les utilisateurs à risque, se sont révélés insuffisants contre des exploitations matérielles.

Implications pour la Confiance de l'Utilisateur

La révélation que même les appareils verrouillés peuvent être violés ébranle la perception de sécurité absolue associée à Apple. Les organisations dépendant d'iPhones pour des communications confidentielles, comme les gouvernements et les ONG, font face à des dilemmes concernant l'adoption de mesures supplémentaires, telles que la désactivation complète des ports physiques ou la migration vers des systèmes alternatifs.

Réponses et Mesures de Mitigation

Mises à Jour et Correctifs d'Apple

Les versions iOS 18.3.2, iPadOS 18.3.2 et macOS Sequoia 15.3.2 incluent des correctifs pour les deux vulnérabilités. L'entreprise recommande à tous les utilisateurs de mettre à jour leurs appareils immédiatement, en particulier ceux des groupes vulnérables. De plus, Safari 18.3.1 a reçu des ajustements dans le sandbox WebKit pour prévenir de futures évasions.

Recommandations pour les Utilisateurs à Haut Risque

• Désactiver les connexions physiques : Utilisez des paramètres pour bloquer les ports Lightning/USB-C lorsqu'ils ne sont pas utilisés.
• Surveiller les activités suspectes : Des outils comme le Mode de Verrouillage enregistrent les tentatives d'accès non autorisé.
• Éviter les versions obsolètes : Les appareils incompatibles avec iOS 17.2 ou les versions ultérieures restent exposés de manière permanente.

Conclusion : Un Appel à une Vigilance Continue

La sophistication des récentes attaques renforce la nécessité d'approches proactives en matière de sécurité mobile. Bien qu'Apple continue de mener des ripostes rapides aux menaces, la nature ciblée de ces exploitations révèle un contexte où même les fabricants "sécurisés par défaut" sont constamment mis à l'épreuve. Pour les utilisateurs communs, la leçon est claire : les mises à jour immédiates sont la première ligne de défense. Pour les cibles de haut niveau, la combinaison de matériel, de logiciel et de prudence opérationnelle reste essentielle.

Alors que les gouvernements débattent des régulations sur les outils forensiques et les zero-days, la communauté de la sécurité attend la prochaine manche de ce jeu du chat et de la souris. La question qui persiste est : combien de failles restent avant que la prochaine génération d'exploitations ne redéfinisse les limites de la vie privée numérique ?

Crédit d'image :
Jaap Arriens/NurPhoto / Getty Images