iPhone: une première faille de sécurité dans son navigateur Safari

Selon Radware, un fournisseur de solutions intégrées de distribution d'applications, le navigateur intégré à l'iPhone dans sa version la plus récente 1.1.4 - Safari - est vulnérable à une attaque par saturation (Denial of Service).

"Nous avons confié un iPhone à notre équipe de recherche spécialisée, dans notre centre de sécurité opérationnelle", explique Ron Meyran, le responsable marketing produits des solutions de sécurité chez Radware. "L'idée était de le tester pour évaluer ses capacités de mémoire et sa réaction aux JavaScript.

Safari est vulnérable à ces attaques DoS en raison d'une faille de conception, qui peut être exploitée suite à une série d'opérations d'allocation dans le pool de mémoire dynamique, ce qui déclenche alors un bogue dans le gestionnaire de corbeille", précise-t-il.

Comme toutes les attaques de ce type, la vulnérabilité, bien que réelle (elle affecte le bon fonctionnement de Safari jusqu'à figer l'iPhone, mais il suffit de relancer l'application ou l'iPhone pour s'en débarrasser), n'affecte cependant pas tous les utilisateurs.

Il faut ainsi se retrouver dans des conditions spécifiques, notamment en ouvrant une page HTML contenant du code JavaScript, avec l'attaque. Ce qui suppose de surfer là où il ne faut pas en premier lieu, puisqu'un site "propre" ne délivrera (normalement) pas de code JavaScript "agressif".

Une preuve de faisabilité

"Pour l'heure, cette attaque - véritable - relève de la preuve de faisabilité, mais elle démontre combien il est facile de trouver des failles dans l'iPhone. A terme, et à mesure que les terminaux mobiles vont se développer, il est à craindre que ce type d'attaques devienne légion (keylogger, chevaux de Troie, etc.)", insiste M. Meyran.

Parfois néanmoins, il peut arriver qu'à la suite d'une manœuvre d'ingénierie sociale (courriel de spam ou SMS de spam), l'utilisateur se trouve confronté à un DoS applicatif, suivi d'un terminal inutilisable.

Il semblerait qu'aucun correctif n'existe actuellement: les propriétaires d'iPhone restent donc vulnérables à de possibles attaques, tant qu'Apple n'aura pas publié un patch (programme correctif).

Retrouvez sur BusinessMobile.fr notre page spéciale consacrée à l'iPhone.