L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2024-27834 à son catalogue des vulnérabilités connues comme exploitées, après que des informations ont signalé que des attaquants exploitaient cette faille. La vulnérabilité est classée de gravité moyenne, avec un score CVSS de 5,5, et touche plusieurs systèmes d’exploitation Apple.

Cette faille concerne une authentification incorrecte. Un attaquant disposant déjà de capacités arbitraires de lecture et d’écriture pourrait l’utiliser pour contourner l’authentification par pointeur. Apple a corrigé le problème en mai 2024 au moyen de mises à jour pour iOS et iPadOS 16.7.8 et 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 et Safari 17.5. La faille a été présentée comme une vulnérabilité zero-day lors du concours Pwn2Own Vancouver en mars 2024.

La mise à jour du catalogue de la CISA fait suite à un rapport de Sekoia décrivant des attaques qui ont exploité des vulnérabilités précédemment corrigées dans Safari et Google Chrome afin de diffuser un logiciel malveillant capable de collecter des données sur les navigateurs et les appareils. Sekoia a attribué cette activité, avec un niveau de confiance moyen à élevé, à APT29, également connu sous les noms de Cozy Bear et Midnight Blizzard, un groupe affilié au Service de renseignement extérieur russe.

Les attaques décrites s’appuient sur des sites légitimes compromis, de faux sites imitant des destinations populaires ou une attaque de la chaîne d’approvisionnement visant Plerdy SEO Tracker pour diffuser du JavaScript malveillant. Le script dresse le profil de l’appareil du visiteur et déclenche des vulnérabilités avant de déployer une charge utile de vol d’informations. La chaîne d’exploitation zero-click décrite combine une faille d’exécution de code à distance dans WebKit, CVE-2025-43529, et un contournement des codes d’authentification par pointeur pour exécuter du JavaScript conçu pour dérober les cookies du navigateur.

La CISA recommande aux agences fédérales de la branche exécutive civile d’appliquer les correctifs nécessaires d’ici au 18 novembre 2026.

Sources: The Hacker News.