CVE-2024-23204 Vulnérabilité des raccourcis Apple
Des informations ont fait surface concernant une vulnérabilité de sécurité de haute gravité précédemment corrigée dans l'application Raccourcis d'Apple, qui pourrait permettre un raccourci pour accéder aux données sensibles de l'appareil sans le consentement de l'utilisateur.
La faille de sécurité, identifiée comme CVE-2024-23204 avec un score CVSS de 7,5, a été corrigée par Apple le 22 janvier 2024, via la sortie d'iOS 17.3, iPadOS 17.3, macOS Sonoma 14.3 et watchOS 10.3.
Apple a expliqué dans un avis qu'un raccourci aurait pu utiliser des données sensibles sans invite de l'utilisateur, et cela a été corrigé grâce à la mise en œuvre de « vérifications d'autorisations supplémentaires ».
L'application Raccourcis est un outil de script qui permet aux utilisateurs de créer des flux de travail personnalisés sur iOS, iPadOS, macOS et watchOS. Il est préinstallé sur ces systèmes d'exploitation.
La vulnérabilité offre un sérieux potentiel malveillant
Les chercheurs ont souligné la potentielle militarisation de la faille pour créer un raccourci malveillant capable de contourner les politiques de transparence, de consentement et de contrôle (TCC). TCC est un cadre de sécurité Apple conçu pour protéger les données des utilisateurs en exigeant les autorisations appropriées.
La vulnérabilité est spécifiquement liée à une action de raccourci nommée « Développer l'URL », qui peut développer et nettoyer les URL raccourcies de services comme t.co ou bit.ly, tout en supprimant également les paramètres de suivi UTM.
En exploitant cette fonctionnalité, il est devenu possible de transmettre les données d’une photo codées en Base64 à un site Web malveillant. Cette méthode consiste à sélectionner des données sensibles (telles que des photos, des contacts, des fichiers et des données du presse-papiers) dans les raccourcis, à les importer, à les convertir à l'aide de l'option d'encodage base64 et, finalement, à les envoyer au serveur malveillant.
Les données exfiltrées sont ensuite capturées et enregistrées sous forme d'image du côté de l'attaquant via une application Flask, ouvrant ainsi la porte à une éventuelle exploitation ultérieure.
