PoC d'échappement Sandbox dans iOS 26 / 27 permet l'accès aux données d'autres applications, alerte Binance

Apple iOS fait face à une vulnérabilité d'isolement de processus - communément appelé "escape sandbox" - dont le test de concept a été publié dans GitHub par un chercheur qui signe incit. Selon le code et les applications construites sur celui-ci, un programme peut, sous certaines conditions, accéder aux conteneurs de données d'autres applications iPhone avec iOS 26 et 27, exposant potentiellement des graines de piscine, des clés privées et des identifiants stockés. Binance a émis un avertissement public qui recommande de retirer les applications installées de sources peu fiables et, s'il y avait un soupçon d'engagement, de transférer des fonds vers un nouveau portefeuille créé sur un appareil propre.

Faits confirmés : le chercheur a publié un projet appelé mot _ requête dans GitHub; des développeurs tiers ont utilisé ce code pour créer des applications (par exemple, un gestionnaire de fichiers appelé WQ Files) qui, selon leurs notes, peuvent lister et modifier des données d'autres applications sans avoir besoin d'une jailbreak ou d'exploitations de noyau; Binance et d'autres acteurs ont alerté les utilisateurs; et les mises à jour iOS récentes (y compris celles visées aux 27.2.1 et 26.7.3) n'incluent pas les références publiques à un correctif pour ce problème dans les notes de sécurité officielles d'Apple. En outre, les outils de chargement latéral tels qu'AltStore et SideStore peuvent faciliter l'installation d'applications qui profitent de l'explosion parce qu'ils génèrent les conteneurs et les fournitures nécessaires lors de la signature d'applications avec un identifiant Apple.

Fonctionnement technique (en termes généraux et confirmés par des publications): iOS isole les données de chaque application dans des conteneurs indépendants et régule l'échange entre les applications par des mécanismes tels que les groupes d'applications et les entrées signées. Le code publié profite d'un flux qui permet une application, en créant un conteneur App Group et en utilisant les autorisations et les dispositions qui sont créées lors de l'installation par chargement latéral, pour accéder au contenu des conteneurs d'autres applications du système. L'auteur affirme que le PoC « peut atteindre le conteneur de données de chaque application sur un iPhone » et que dans iOS 27 il peut également toucher certains répertoires système. Il n'est pas nécessaire qu'un noyau ou une explosion jailbreak exécute ces actions lorsque les conditions d'installation et d'approvisionnement sont remplies.

Quels sont les appareils et les utilisateurs à risque (confirmés et estimés): les sources publiques du projet et des applications basées sur celui-ci indiquent iOS 26 et 27 comme versions touchées; cependant, il y a des divergences dans les listes exactes de versions supportées entre les différents développeurs, et certains ont ajouté le support pour les versions plus récentes après des tests supplémentaires. Il est confirmé que la menace se matérialise si l'utilisateur installe une application qui implémente pire _ requête - c'est-à-dire des applications surchargées ou signées manuellement -. Il n'y a pas de confirmation publique qu'une application distribuée par l'App Store peut exploiter la technique, et cette possibilité reste incertaine : Les politiques d'Apple et les contrôles de signature rendent difficile pour une application légitime de l'App Store d'obtenir des éléments ou des dispositions qui permettent la lecture arbitraire d'autres conteneurs, mais l'absence de patch public ouvre la possibilité de vecteurs non divulgués.

Incidences pratiques: Si un acteur malveillant distribue une application qui intègre cette évasion et qu'un utilisateur l'installe (par exemple, par chargement latéral), l'application peut lire, modifier ou supprimer des fichiers d'autres applications présentes sur l'appareil. Pour les utilisateurs qui manipulent des clés cryptomoneda, des applications bancaires ou des gestionnaires de mots de passe, cela implique un risque direct d'exfiltration de secrets. Malgré cela, aucun vol confirmé ni aucune attaque liée à < < requête _ n'ont été signalés à ce jour selon les déclarations publiques des développeurs et l'échange que l'alerte a émis.

Limites et ce qui n'est pas encore confirmé: Il n'y a pas de fonctionnaire Apple confirmation de vulnérabilité ou que les dernières mises à jour vont y remédier; les différents dépôts et applications utilisant le PoC offrent des listes de versions avec des différences entre eux; il n'y a aucune preuve publique d'abus de masse ou de vol de nature. On ne peut pas dire avec certitude qu'une application distribuée par l'App Store ne peut pas exploiter la technique, bien que le modèle de distribution et de signature Apple rend ce chemin moins probable.

Les différences dans les rapports de compatibilité des projets indiquent que l'opération peut dépendre de facteurs spécifiques à l'appareil, de la version exacte d'iOS et de la façon dont l'application a été installée ou signée. Par conséquent, l'affirmation d'une liste définitive des versions concernées serait prématurée jusqu'à ce qu'Apple publie une analyse technique ou un patch corrigé.

Ce que l'utilisateur devrait faire aujourd'hui (actions concrètes et prioritaires): d'abord, supprimer immédiatement toute application installée à l'extérieur de l'App Store qui n'est pas strictement nécessaire ou dont la source ne peut pas être vérifiée. Deuxièmement, mettre à jour iOS et toutes les applications aux dernières versions disponibles; bien que les notes de sécurité d'Apple ne mentionnent pas la correction de cette fuite, garder le système mis à jour réduit l'exposition globale aux vecteurs connus. Troisièmement, si vous avez récemment installé des applications à l'aide de sideload (AltStore, SideStore ou autres), examinez et désinstallez ces applications et envisagez de révoquer les certificats ou profils de fourniture associés à votre identifiant Apple. Quatrièmement, pour les fonds de portefeuille : si vous soupçonnez qu'il pourrait y avoir une fuite, créez un nouveau portefeuille sur un appareil qui n'a jamais eu de logiciel potentiellement compromis installé et déplacez des fonds là-bas; utilisez un portefeuille froid ou un portefeuille matériel pour des actifs de grande valeur. Cinquièmement, permettre des facteurs de sécurité supplémentaires pour des comptes importants (2FA avec des dispositifs physiques ou des clés de sécurité si possible) et changer de mot de passe d'un dispositif de confiance. Enfin, enregistrer et documenter toute activité suspecte (changements de session, transferts non reconnus) et, le cas échéant, contacter le soutien des services concernés.

Pour ceux qui veulent en savoir plus: la publication originale et les applications dérivées sont disponibles dans GitHub pour examen public; vous pouvez consulter le dépôt avec recherche publique dans GitHub pour voir le PoC et les discussions autour du projet ( recherche dans GitHub : pire _ requête). Si vous utilisez des outils de chargement latéral, vérifiez les pratiques et les risques sur la page de cet outil - par exemple, AltStore conserve la documentation sur la façon de signer et installer des applications sur votre site Web ( Altstore.io). Pour le contexte des correctifs et notes de sécurité officiels, Apple rassemble ses bulletins dans son portail d'assistance sur les mises à jour de sécurité ( Apple - A propos des mises à jour de sécurité).

Bref, il y a un test de concept public qui démontre une méthode pour rompre l'isolement entre les applications dans les versions récentes d'iOS dans des conditions d'installation spécifiques. Le risque réel pour la plupart des utilisateurs dépend de l'installation d'applications de l'extérieur de l'App Store et des pratiques de sécurité qui suivent avec leurs clés et portefeuilles. Jusqu'à ce qu'Apple confirme et publie un patch, la mesure la plus efficace est de supprimer les logiciels peu fiables, d'exploiter des portefeuilles critiques d'appareils propres ou de portefeuilles matériels et de suivre les recommandations de sécurité des services utilisant des actifs numériques.