Apple corrige une faille zero-day exploitée : CVE-2025-24200 – Patchez votre iPhone !
Une nouvelle mise à jour de sécurité a été déployée en urgence par Apple ! La raison : elle corrige une faille de sécurité zero-day exploitée dans le cadre d'attaques « extrêmement sophistiquées » ! Faisons le point sur cette menace potentielle.
CVE-2025-24200 : une nouvelle menace pour Apple
La faille de sécurité associée à cette alerte est associée à la référence CVE-2025-24200. Cette vulnérabilité concerne le mode restreint USB, une fonctionnalité de sécurité introduite avec iOS 11.4.1 il y a près de sept ans.
Cette fonctionnalité de sécurité empêche les accessoires USB d'établir une connexion de données si l'appareil est verrouillé depuis plus d'une heure. Cette protection a pour objectif de bloquer certains logiciels comme GrayKey et Cellebrite, souvent utilisés par les forces de l'ordre pour extraire des données d'appareils verrouillés.
"Une attaque physique peut désactiver le mode restreint USB sur un appareil verrouillé.", a indiqué Apple dans son bulletin de sécurité destiné aux utilisateurs d'iPhone et d'iPad. Mais, ce n'est pas tout, puisque Apple évoque aussi des attaques : "Apple a eu connaissance d'un rapport selon lequel ce problème pourrait avoir été exploité dans le cadre d'une attaque extrêmement sophistiquée contre des personnes ciblées.", peut-on lire sur cette page.
La vulnérabilité a été signalée par Bill Marczak de Citizen Lab, un laboratoire qui a déjà révélé plusieurs failles exploitées par des logiciels espions, notamment le tristement célèbre Pegasus.
Sans surprise, Apple n'a pas dévoilé plus de détails sur l'exploitation de cette faille. Les vulnérabilités de ce type découvertes par Citizen Lab sont souvent utilisées contre des journalistes, des opposants politiques et des militants. Quoi qu'il en soit, cette vulnérabilité pourrait faire les affaires des forces de l'ordre dans les prochains mois...
Comment se protéger ? Qui est affecté ?
Cette vulnérabilité affecte à la fois les utilisateurs d'iPhone et d'iPad. Elle a été corrigée dans les versions suivantes des systèmes d'Apple :
- iOS 18.3.1
- iPadOS 18.3.1
- iPadOS 17.7.5
Les appareils suivants sont potentiellement vulnérables :
- iPhone XS et plus récent,
- iPad Pro 13 pouces, iPad Pro 12.9 pouces de 3ᵉ génération et plus récent, iPad Pro 11 pouces de 1ᵉ génération et plus récent, iPad Air 3ᵉ génération et plus récent, iPad de 7ᵉ génération et plus récent, et enfin, iPad mini 5ᵉ génération et plus récent.
- iPad Pro 12.9 pouces de 2ᵉ génération, iPad Pro 10.5 pouces, et iPad 6ᵉ génération.
L'installation de cette mise à jour est vivement conseillée. Pour rappel, fin janvier, Apple avait corrigé sa première zero-day de l'année 2025, à savoir la CVE-2025-24200.
