Apple a déployé mercredi des mises à jour logicielles pour iOS et iPadOS afin de remédier à un problème persistant de déni de service (DoS) affectant le cadre de la maison intelligente HomeKit, qui pourrait être potentiellement exploité pour lancer des attaques de type ransomware visant les appareils.
Le fabricant de l’iPhone, dans ses notes de publication pour iOS et iPadOS 15.2.1, l’a qualifié de « problème d’épuisement des ressources » qui pourrait être déclenché lors du traitement d’un nom d’accessoire HomeKit malicieusement conçu, ajoutant qu’il a corrigé le bug avec une validation améliorée.
La vulnérabilité dite « doorLock », suivie sous le nom de CVE-2022-22588, affecte HomeKit, l’API logicielle permettant de connecter les appareils domestiques intelligents aux applications iOS.
Si elle est exploitée avec succès, les iPhones et iPads peuvent être envoyés dans une spirale de crash simplement en changeant le nom d’un appareil HomeKit en une chaîne de plus de 500 000 caractères et en trompant la cible pour qu’elle accepte une invitation Home malveillante.
Pire encore, puisque les noms des appareils HomeKit sont sauvegardés sur iCloud, le fait de se reconnecter au compte iCloud affecté lié à l’appareil HomeKit peut redéclencher la condition de déni de service et faire entrer les appareils dans un cycle sans fin de crash et de redémarrage auquel on ne peut mettre fin qu’en rétablissant leurs paramètres d’usine.
Bien que l’entreprise ait tenté d’atténuer le problème en introduisant une limite à la longueur du nom qu’une application ou l’utilisateur peut définir, il s’est avéré que cela n’a rien fait pour empêcher un attaquant d’exécuter une version antérieure qui autorise des noms d’appareils excessivement longs, puis d’amener la victime à accepter une invitation malhonnête via un courriel de phishing.
Le correctif intervient quelques semaines après que le chercheur en sécurité Trevor Spiniolas, qui a découvert la vulnérabilité, ait appelé l’entreprise à ne pas « prendre la question au sérieux », bien qu’elle l’ait signalée en août 2021, et à laisser ses clients exposés à un problème assez grave.
« Le manque de transparence d’Apple n’est pas seulement frustrant pour les chercheurs en sécurité qui travaillent souvent gratuitement, il représente un risque pour les millions de personnes qui utilisent les produits Apple dans leur vie quotidienne en réduisant la responsabilité d’Apple en matière de sécurité », a déclaré Spiniolas.
