Un chercheur en sécurité vient de découvrir une faille CSS dans le WebKit d’iOS et de MacOS. Celle-ci provoque un bug faisant planter Safari et redémarrant les iPhone lançant le code.
Si vous possédez un iPhone ou un ordinateur sous MacOS, faites attention aux liens sur lesquels vous cliquez ces prochains jours, ils pourraient s’avérer embêtants. Un chercheur en sécurité du nom de Sabri Haddouche vient en effet de découvrir une faille CSS qui fait planter le moteur de rendu WebKit sur iOS et MacOS.
How to force restart any iOS device with just CSS? 💣
Source: https://t.co/Ib6dBDUOhn
IF YOU WANT TO TRY (DON’T BLAME ME IF YOU CLICK) : https://t.co/4Ql8uDYvY3
— sh (@pwnsdx) September 15, 2018
Documentée sur GitHub, cette faille utilise les propriétés CSS webkit-backdrop-filter. « En utilisant des div imbriqués avec cette propriété, nous pouvons rapidement consommer toutes les ressources graphiques et bloquer le système d’exploitation » explique le chercheur à BleepingComputer. Résultat : un iPhone lançant cette page redémarre tandis que Safari sur MacOS freeze et nécessite un arrêt forcé de l’application.
Précisons que cette attaque ne contient pas de JavaScript et peut donc être chargée nativement dans les applications de Mail, ce qui risque d’amuser un certain nombre de petits malins. Attention donc pendant les prochains jours aux liens sur lesquels vous cliquez.
Les tests effectués montrent que ce bug affecte un grand nombre de versions d’iOS. Par ailleurs, nous avons essayé d’ouvrir le lien avec Firefox sur un iPhone X, mais le navigateur utilisant obligatoirement le WebKit Apple, l’effet reste le même.
Notons par ailleurs qu’un exploit similaire est possible sur Chrome (et donc Android), avec une ligne JavaScript ce coup-ci. Celui-ci a été mis à jour par le même chercheur une semaine plus tôt :
How to entirely freeze ChromeOS / Chrome in one line of JS? 💣
<script>for(let i=0;i<1/0;i++)document.location.href="#",window.history.back(),window.history.forward();</script>
IF YOU WANT TO TRY (DON'T BLAME ME IF YOU CLICK) : https://t.co/UhoUFWej4p
— sh (@pwnsdx) September 9, 2018
Quel que soit votre téléphone ou votre navigateur, ne cliquez pas n’importe où. Et si vous souhaitez encore plus vous protéger, n’hésitez pas à lire nos 9 conseils de sécurité sur Android.
Il existe pléthore de règles de sécurité à suivre. Vous pouvez, par exemple, chiffrer les données de votre smartphone, ce que Android 7.0 Nougat fait nativement par exemple ou restreindre l’accès aux autorisations que les applications demandent….
Lire la suite
Nos confrères de Numerama lancent Watt Else, leur newsletter dédiée à la mobilité du futur. Inscrivez-vous par ici pour être certain de recevoir le prochain numéro !
Ca c'est parce que les dernières versions de Chrome sandbox les onglets séparément. A la base c'est pour bloquer les attaques Spectre et Meltdown, mais ça marche pour ça aussi.
c'est fou ça, cela fait 5 commentaires que je veux faire sur cet article et cela fait 5 fois que je me fais censurer... FrANdroid est basé en Corée du Nord maintenant ?
ça tombe bien, je me suis arrêté à un ipad.
C'est la honte tout de même.
Un titre qui parle de iOS sur un blog Android, tout ça pour lire dans l'article que la même existe sur Android avec Chrome... C'est même plus faire le trottoir chez FrAndroid...
On nous le dit toujours
Plus qu'à migrer sous Windows Phone 8.1. Le seul OS stable que plus personne ne s'amuse à faire planter avec des SMS ou des adresses Web...
Impossible! iOS est LE système le plus sécurisé au monde. En tout cas c'est ce que je lis constamment dans les commentaires
On nous le dit toujours
Entre bugs et failles, elle est loin l'époque où on nous disait qu'iOS est sûr et performant...
L'intégration de Safari dans iOS et macOS rappelle un peu les grandes (mauvaises) heures d'IE6 et Windows XP !
J'ai cliqué avec Chrome sur le lien qui concerne Chrome. Ok ça bloque. Clic pour fermer l'onglet et on en parle plus.