Vulnérabilités dans Apple Mail
Date de publication :
Deux vulnérabilités ont été découvertes dans l’application Mail d’Apple. Elles peuvent permettre à un attaquant distant d’exécuter du code arbitraire dans le contexte de l’application, lui permettant ainsi de consulter, modifier ou effacer des emails. Ces vulnérabilités seraient exploitées dans la nature depuis plusieurs années.
Pas de CVE attribuée [Score CVSS v3 : Non déterminé] : L’implémentation de MFMutableData dans la bibliothèque MIME d’Apple Mail ne vérifie pas les erreurs lorsque le système appelle la fonction ftruncate() ce qui peut provoquer une écriture hors-limites. Cette vulnérabilité peut être exploitée par un attaquant en utilisant un mail spécialement forgé afin de pouvoir exécuter du code arbitraire dans le contexte de l’application. Sur iOS 13, l’exploitation peut se faire sans interaction utilisateur (zero-click attack).
Pas de CVE attribuée [Score CVSS v3 : Non déterminé] : Une vulnérabilité de type dépassement de tas a été découverte dans Apple Mail. Elle peut permettre à un attaquant distant, par le biais d’un mail spécialement forgé, d’exécuter du code arbitraire dans le contexte de l’application.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
Exécution de code arbitraire
Criticité
Score CVSS v3 : Non déterminé
Existence d’un code d’exploitation
Des preuves de concept sont disponibles publiquement et il a été reporté que ces vulnérabilités sont exploitées dans la nature depuis plusieurs années.
Composants vulnérables
Apple Mail depuis iOS 6
CVE
Pas de CVE attribuée
Solutions ou recommandations
Mise en place de correctifs de sécurité
Aucun correctif de sécurité n’est disponible sur les versions stabilisées d’iOS pour l’instant
Solution de contournement
Apple a corrigé ces vulnérabilités dans iOS 13.4.5 beta, il est possible de l’utiliser pour mitiger ces vulnérabilités. Sinon, il est possible aussi de désactiver l’application Mail et d’en utiliser une autre équivalente (Outlook ou Gmail).