Une vulnérabilité a été découverte dans la fonctionnalité Apple iOS VoiceOver qui pourrait être exploitée par des attaquants afin d’accéder aux photos de la victime.
Comme rapporté par Apple Insider, la faille, qui consiste en un contournement de l’écran de verrouillage rendu possible via le lecteur VoiceOver, requiert un accès physique au terminal iOS cible. L’attaque a été révélée par le hacker Jose Rodriguez et démontrée dans une vidéo publiée sur YouTube.
Ecran de verrouillage contourné
Comment la faille est-elle exploitée ? L’attaquant doit d’abord appeler le téléphone de la victime. Cela peut être rendu possible en demandant à l’assistant vocal Siri de lire le numéro de téléphone chiffre par chiffre, si l’attaquant ne possède pas ces informations.
Une fois qu’un appel a été passé, l’attaquant doit ensuite taper sur « Répondre par SMS », puis sélectionner l’option « personnaliser ». N’importe quel mot peut être saisi à ce stade, mais l’attaquant doit absolument demander à Siri d’activer VoiceOver.
L’icône appareil photo doit alors être sélectionnée, puis l’attaquant doit appuyer deux fois sur l’écran tout en appelant en même temps Siri par le biais des boutons latéraux. Plusieurs tentatives peuvent être nécessaires pour déclencher le bug.
En cas de succès, l’écran de l’appareil cible devient noir, ce qui peut résulter d’une confusion ou d’un conflit au niveau du système d’exploitation. L’attaquant peut alors utiliser ce bug pour accéder à des éléments de l’interface utilisateur, dont la bibliothèque de photos – dont l’accès nécessite en principe un code secret.
Une fois l’accès à l’album photos obtenu, il est possible d’appuyer deux fois sur les photos pour revenir au répondeur SMS et d’ajouter le contenu au message. Ces images peuvent ensuite être volées et envoyées sur le smartphone personnel de l’attaquant.
Bien que le rendu réel de chaque image soit masqué par la boîte de message à ce stade, la photo peut toujours être consultée et visualisée après avoir été ajoutée au message. Apple Insider a confirmé la présence de cette vulnérabilité dans les modèles d’iPhone actuels exécutant la dernière version du système d’exploitation mobile, iOS 12.
En septembre, Patrick Wardle, expert en sécurité, avait révélé une faille zero-day du système d’exploitation Apple Mojave, qui, si elle était exploitée, pourrait entraîner le vol des informations de contact de l’utilisateur.
La divulgation faisait suite aux découvertes précédentes de Wardle concernant un bug macOS susceptible de compromettre totalement le système.
