[F] iPad (Informatique et high-tech) - Page 481

• Avoir des applis pour tout et n'importe quoi (puisque tu ne peux pas prendre un outil général et bidouiller pour l'adapter) et donc stimuler le marché et donc vendre plus (=commissions pour Apple)
• Rendre difficile la migration vers un autre OS
• Conserver le maître mot "simplicité", "ouvre la bouche je te mets la cuillérée, t'as rien à faire" pour que les consommateurs soient effrayés de quoi que ce soit de plus complexe. Comme le contrôle = complexité, essentiellement ça fait que tu abandonnes ton contrôle au nom de la simplicité. À Apple. Pour ton bien. Et eux s'en servent pour contrôler comment tu te sens, et quand tu veux acheter.
  

iOS 13.4.5 va boucher une grosse faille dans MailiGenerationiOS 13.4.5 n’arrivera jamais assez tôt. Cette version en bêta du système d’exploitation est en effet censée contenir un correctif pour deux failles de sécurité assez sérieuses. Les chercheurs en sécurité de ZecOps expliquent qu’une vulnérabilité permet à des malandrins de pirater un iPhone en envoyant un simple courriel aux victimes. ZecOps explique que l’utilisateur n’a même pas besoin de toucher le message pour que son smartphone soit infecté sous iOS 13 (sous iOS 12, il faut que la victime touche le courriel).

Mail est vulnérable, mais pas Outlook ni Gmail, selon les chercheurs. Tous les iPhone et iPad sont concernés, depuis iOS 6. Cela fait au moins deux ans que la faille est exploitée par des brigands ; au moins six cibles ont été identifiées : un opérateur télécom japonais, une « grande entreprise américaine », des sociétés tech en Israël et en Arabie saoudite, un particulier en Allemagne et un journaliste européen.

La solution à l’heure actuelle est d’éviter d’utiliser Mail.

Brunni (./14422) :
L’article ne dit pas ce qu’on peut en faire etc. Bref c’est juste pour faire peur et pas bien informé.

https://blog.zecops.com/vulnerabilities/unassisted-ios-attacks-via-mobilemail-maild-in-the-wild/#post-faq :
The vulnerability allows to run remote code in the context of MobileMail (iOS 12) or maild (iOS 13). Successful exploitation of this vulnerability would allow the attacker to leak, modify, and delete emails. Additional kernel vulnerability would provide full device access – we suspect that these attackers had another vulnerability. It is currently under investigation.

Why are you disclosing these bugs before a full patch is available?

A: It’s important to understand the following:

These bugs alone cannot cause harm to iOS users – since the attackers would require an additional infoleak bug & a kernel bug afterwards for full control over the targeted device.
Both bugs were already disclosed during the publicly available beta update. The attackers are already aware that the golden opportunity with MobileMail/maild is almost over and they will likely use the time until a patch is available to attack as many devices as possible.
With very limited data we were able to see that at least six organizations were impacted by this vulnerability – and the potential abuse of this vulnerability is enormous. We are confident that a patch must be provided for such issues with public triggers ASAP.

Zerosquare (./14425) :
C'est expliqué dans la source. Pour faire simple, Mail ne gère pas correctement les mails qui demandent davantage de mémoire pour être traités que la quantité restante disponible, parce qu'il ne vérifie pas que la réservation de la mémoire a effectivement réussi. Donc au lieu de s'arrêter, le code continue et corrompt la mémoire d'une façon qui peut être exploitée. (Il y a quelques subtilités supplémentaires pour pouvoir déclencher le bug sans avoir à envoyer un mail qui fasse réellement plusieurs gigagoctets).