À propos des correctifs de sécurité d’iOS 18.2 et d’iPadOS 18.2

Ce document décrit les correctifs de sécurité d’iOS 18.2 et d’iPadOS 18.2.

À propos des mises à jour de sécurité Apple

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête n’a pas été effectuée et que des correctifs ou mises à jour ne sont pas disponibles. Les mises à jour récentes sont répertoriées sur la page Mises à jour de sécurité Apple.

Les documents de sécurité Apple répertorient les vulnérabilités par référence CVE, dans la mesure du possible.

Pour obtenir plus d’informations en matière de sécurité, consultez la page consacrée à la sécurité des produits Apple.

iOS 18.2 et iPadOS 18.2

Publié le 11 décembre 2024

Accounts

Disponible pour : iPhone XS et modèles ultérieurs, iPad Pro 13 pouces, iPad Pro 12,9 pouces (3e génération) et modèles ultérieurs, iPad Pro 11 pouces (1re génération) et modèles ultérieurs, iPad Air (3e génération) et modèles ultérieurs, iPad (7e génération) et modèles ultérieurs, iPad mini (5e génération) et modèles ultérieurs

Conséquence : les photos de l’album Photos masquées peuvent être consultées sans authentification.

Description : un problème de logique a été résolu par une meilleure gestion des fichiers.

CVE-2024-54488 : Benjamin Hornbeck, Skadz (@skadz108), Chi Yuan Chang de ZUSO ART et taikosoup

Entrée ajoutée le 27 janvier 2025

APFS

Conséquence : une app pourrait accéder à des données sensibles de l’utilisateur.

Description : ce problème a été résolu par une meilleure gestion des états.

CVE-2024-54541 : Arsenii Kostromin (0x3c3e) et un chercheur ou une chercheuse anonyme

Entrée ajoutée le 27 janvier 2025

AppleMobileFileIntegrity

Conséquence : une app malveillante peut être en mesure d’accéder à des informations privées.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54526 : Mickey Jin (@patch1t), Arsenii Kostromin (0x3c3e)

AppleMobileFileIntegrity

Conséquence : une app peut être en mesure d’accéder à des données sensibles de l’utilisateur.

Description : ce problème a été résolu par la réalisation de meilleures vérifications.

CVE-2024-54527 : Mickey Jin (@patch1t)

Audio

Conséquence : l’option permettant de couper le son d’un appel peut ne pas s’activer lorsqu’elle est utilisée pendant que l’appareil sonne.

Description : un problème d’incohérence de l’interface utilisateur a été résolu par une meilleure gestion des états.

CVE-2024-54503 : Micheal Chukwu et un chercheur ou une chercheuse anonyme

Contacts

Conséquence : une app peut être en mesure de consulter les coordonnées issues de Messages et de Mail qui sont renseignées automatiquement dans les historiques du système.

Description : ce problème a été résolu par l’amélioration de la rédaction des informations sensibles.

CVE-2024-54550 : Smi1e (@Smi1eSEC)

Entrée ajoutée le 27 janvier 2025

Crash Reporter

Conséquence : une app peut être en mesure d’accéder à des données sensibles de l’utilisateur.

Description : un problème d’autorisations a été résolu par des restrictions supplémentaires.

CVE-2024-54513 : un chercheur ou une chercheuse anonyme

Face Gallery

Conséquence : un binaire du système pouvait être utilisé pour déterminer l’empreinte du compte Apple d’un utilisateur ou d’une utilisatrice.

Description : le problème a été résolu par l’élimination des risques signalés.

CVE-2024-54512 : Bistrit Dahal

Entrée ajoutée le 27 janvier 2025

FontParser

Conséquence : le traitement d’une police malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54486 : Hossein Lotfi (@hosselot) du programme Zero Day Initiative de Trend Micro

ICU

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : un problème d’accès hors limites a été résolu par une meilleure vérification des limites.

CVE-2024-54478 : Gary Kwong

Entrée ajoutée le 27 janvier 2025

ImageIO

Conséquence : le traitement d’une image malveillante peut entraîner l’exécution arbitraire de code.

Description : un problème d’utilisation ultérieure libre a été résolu par une meilleure gestion de la mémoire.

CVE-2024-54499 : anonyme travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro

Entrée ajoutée le 27 janvier 2025

ImageIO

Conséquence : le traitement d’une image malveillante peut entraîner la divulgation du contenu de la mémoire de traitement.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54500 : Junsung Lee en collaboration avec le programme Zero Day Initiative de Trend Micro

IOMobileFrameBuffer

Conséquence : une app pourrait corrompre la mémoire du coprocesseur.

Description : ce problème a été résolu par une meilleure vérification des limites.

CVE-2024-54517 : Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54518 : Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54522 : Ye Zhang (@VAR10CK) de Baidu Security

CVE-2024-54523 : Ye Zhang (@VAR10CK) de Baidu Security

Entrée ajoutée le 27 janvier 2025

Kernel

Conséquence : une app peut être en mesure de sortir de sa sandbox.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54468 : un chercheur ou une chercheuse anonyme

Entrée ajoutée le 27 janvier 2025

Kernel

Conséquence : un attaquant ou une attaquante bénéficiant de privilèges utilisateur peut être en mesure de lire la mémoire du noyau.

Description : un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.

CVE-2024-54507 : Joseph Ravichandran (@0xjprx) de MIT CSAIL

Entrée ajoutée le 27 janvier 2025

Kernel

Conséquence : un attaquant ou une attaquante peut être en mesure de créer un mappage de mémoire en lecture seule accessible en écriture.

Description : un problème de concurrence a été résolu par une validation supplémentaire.

CVE-2024-54494 : sohybbyk

Kernel

Conséquence : une app peut divulguer des informations sensibles sur l’état du noyau.

Description : un problème de concurrence a été résolu par un meilleur verrouillage.

CVE-2024-54510 : Joseph Ravichandran (@0xjprx) du MIT CSAIL

Kernel

Conséquence : une app peut être en mesure de provoquer l’arrêt inopiné du système ou de corrompre la mémoire du noyau.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

CVE-2024-44245 : un chercheur ou une chercheuse anonyme

libexpat

Conséquence : un attaquant distant peut provoquer la fermeture inopinée d’une app ou l’exécution arbitraire de code.

Description : une vulnérabilité est présente dans le code open source et les logiciels Apple font partie des projets concernés. La référence CVE a été attribuée par un tiers. Consultez le site cve.org pour en savoir plus sur le problème et la référence CVE.

CVE-2024-45490

libxpc

Conséquence : une app peut être en mesure de sortir de sa sandbox.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54514 : un chercheur ou une chercheuse anonyme

libxpc

Conséquence : il est possible qu’une app profite de privilèges élevés.

Description : un problème de logique a été résolu par la réalisation de meilleures vérifications.

CVE-2024-44225 : 风沐云烟(@binary_fmyy)

Passkeys

Conséquence : le remplissage automatique des mots de passe pourrait renseigner des mots de passe après l’échec de l’authentification

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54530 : Abhay Kailasia (@abhay_kailasia) de C-DAC Thiruvananthapuram en Inde et Rakeshkumar Talaviya

Entrée ajoutée le 27 janvier 2025

Passwords

Conséquence : un attaquant bénéficiant d’une position privilégiée sur le réseau peut être en mesure d’altérer le trafic de ce dernier.

Description : ce problème a été résolu en utilisant HTTPS lors de l’envoi d’informations sur le réseau.

CVE-2024-54492 : Talal Haj Bakry et Tommy Mysk de Mysk Inc. (@mysk_co)

QuartzCore

Conséquence : le traitement d’un contenu web pourrait être à l’origine d’un déni de service.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54497 : anonyme travaillant en collaboration avec le programme Zero Day Initiative de Trend Micro

Entrée ajoutée le 27 janvier 2025

Safari

Conséquence : un site web peut être en mesure de déterminer l’adresse IP d’origine lorsqu’il est ajouté à la liste de lecture Safari sur un appareil utilisant la fonctionnalité Relais privé.

Description : ce problème a été résolu par un meilleur routage des requêtes provenant de Safari.

CVE-2024-44246 : Jacob Braun

Safari Private Browsing

Conséquence : les onglets de navigation privée pourraient être consultés sans authentification.

Description : un problème d’authentification a été résolu par une meilleure gestion des états.

CVE-2024-54542 : Rei (@reizydev), Kenneth Chew

Entrée ajoutée le 27 janvier 2025

SceneKit

Conséquence : le traitement d’un fichier malveillant peut conduire à un déni de service.

Description : le problème a été résolu par de meilleures vérifications.

CVE-2024-54501 : Michael DePlante (@izobashi) du programme Zero Day Initiative de Trend Micro

Vim

Conséquence : le traitement d’un fichier malveillant peut entraîner une corruption de tas.

CVE-2024-45306

Entrée ajoutée le 27 janvier 2025

VoiceOver

Conséquence : un attaquant ou une attaquante bénéficiant d’un accès physique à un appareil iOS peut être en mesure de visualiser le contenu des notifications depuis l’écran verrouillé.

Description : ce problème a été résolu par l’ajout d’une logique supplémentaire.

CVE-2024-54485 : Abhay Kailasia (@abhay_kailasia) de C-DAC Thiruvananthapuram en Inde

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par de meilleures vérifications.

WebKit Bugzilla : 278497

CVE-2024-54479 : Seunghyun Lee

WebKit Bugzilla : 281912

CVE-2024-54502 : Brendon Tiszka de Google Project Zero

WebKit

Conséquence : le traitement d’un contenu web malveillant peut conduire à un blocage inopiné de processus.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 282180

CVE-2024-54508 : linjy de HKUS3Lab et chluo de WHUSecLab, Xiangwei Zhang de Tencent Security YUNDING LAB

WebKit

Conséquence : le traitement d’un contenu web malveillant peut entraîner la corruption de la mémoire.

Description : un problème de confusion liée aux types a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 282661

CVE-2024-54505 : Gary Kwong

WebKit

Conséquence : le traitement d’un contenu web malveillant peut entraîner la corruption de la mémoire.

Description : le problème a été résolu par une meilleure gestion de la mémoire.

WebKit Bugzilla : 277967

CVE-2024-54534 : Tashita Software Security

WebKit Bugzilla : 282450

CVE-2024-54543 : Lukas Bernhard, Gary Kwong et un chercheur ou une chercheuse anonyme

Entrée mise à jour le 27 janvier 2025

Remerciements supplémentaires

Accessibility

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde, Andr.Ess, Jake Derouin et Jason Gendron (@gendron_jason) pour leur aide.

App Protection

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde pour son aide.

Calendar

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde pour son aide.

FaceTime

Nous tenons à remercier 椰椰 pour son aide.

FaceTime Foundation

Nous tenons à remercier Joshua Pellecchia pour son aide.

Family Sharing

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde et J T pour leur aide.

Files

Nous tenons à remercier Christian Scalese pour son aide.

Entrée ajoutée le 27 janvier 2025

Notes

Nous tenons à remercier Katzenfutter pour son aide.

Photos

Nous tenons à remercier Bistrit Dahal, Chi Yuan Chang de ZUSO ART et taikosoup, Finlay James (@Finlay1010), Rizki Maulana (rmrizki.my.id) et Srijan Poudel pour leur aide.

Photos Storage

Nous tenons à remercier Jake Derouin (jakederouin.com) pour son aide.

Proximity

Nous tenons à remercier Junming C. (@Chapoly1305) et Prof. Qiang Zeng de l’Université George Mason pour leur aide.

Quick Response

Nous tenons à remercier un chercheur anonyme pour son aide.

Safari

Nous tenons à remercier Jayateertha Guruprasad pour son aide.

Safari Private Browsing

Nous tenons à remercier Richard Hyunho Im (@richeeta) et Route Zero Security pour leur aide.

Settings

Nous tenons à remercier Akshith Muddasani, Bistrit Dahal, Emanuele Slusarz et Abhishek Kanaujia pour leur aide.

Entrée mise à jour le 27 janvier 2025

Siri

Nous tenons à remercier Srijan Poudel et Bistrit Dahal pour leur aide.

Entrée mise à jour le 27 janvier 2025

Spotlight

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du LNCT à Bhopal et le C-DAC Thiruvananthapuram en Inde pour leur aide.

Status Bar

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du Lakshmi Narain College of Technology Bhopal en Inde et Andr.Ess pour leur aide.

Swift

Nous tenons à remercier Marc Schoenefeld, Dr. rer. pour leur aide.

Time Zone

Nous tenons à remercier Abhay Kailasia (@abhay_kailasia) du LNCT à Bhopal et le C-DAC Thiruvananthapuram en Inde pour leur aide.

WebKit

Nous tenons à remercier Hafiizh pour son aide.

WindowServer

Nous tenons à remercier Felix Kratz pour son aide.

Les informations se rapportant à des produits non fabriqués par Apple, ou à des sites Web indépendants qui ne sont ni contrôlés ni testés par Apple, sont fournies uniquement à titre indicatif et ne constituent aucune recommandation. Apple ne saurait être tenu responsable de problèmes liés à l’utilisation de tels sites ou produits tiers, ou à leurs performances. Apple ne garantit en aucune façon la fiabilité d’un site Web tiers ni l’exactitude des informations que ce dernier propose. Contactez le fournisseur pour plus d’informations.

Date de publication: février 01, 2025