usbliter8: panne matérielle qui compromet le SequreROM d'Apple en A12 / A13 et n'a pas de patch

Le 18 juin 2026, une recherche technique et un test de concept ont été publiés qui changent l'image de plusieurs appareils Apple: usbliter8 permet d'exécuter le code arbitraire dans les puces A12 et A13 SequreROM, le code qui est brûlé sur silicone pendant la fabrication et qu'aucune mise à jour logicielle ne peut modifier.

La racine du problème est une défaillance matérielle sur le pilote USB Synopsys DWC2: le lecteur DMA qui enregistre les paquets de configuration USB peut sauvegarder votre pointeur d'écriture à travers un écart entre la façon dont l'index est redémarré et comment les paquets plus courts sont acceptés que d'habitude, causant une sous-courant du tampon reproductible. Cela ne suffirait pas à lui seul, mais dans A12 et A13 Apple ont mis en place le DART (l'OIMMU de l'USB dans SequreROM) dans un mode de contournement qui permet à ces pointeurs DMA écrit de revenir à atteindre et corrompu arbitraire SRAM. Avec des chaînes techniques supplémentaires (y compris une sortie de phase d'authentification Pointer en A13), les chercheurs obtiennent une exécution de niveau privilégié (EL1) dans SecureROM en moins de deux secondes puisque l'appareil est en mode DFU et connecté par USB à un microcontrôleur dédié.

C'est important. comprendre la portée pratique. Ce n'est pas une attaque à distance : elle nécessite la possession physique de l'appareil, force le mode DFU et a le matériel et les connaissances nécessaires pour l'exploiter. Les familles touchées comprennent iPhone XS / XS Max / XR, iPhone 11 / 11 Pro, iPhone SE (2e gène), plusieurs iPad avec A12 / A13, Apple Watch Series 4 / 5 et la maison Pod mini, entre autres; A11 n'est pas affecté et A14 et les générations suivantes semblent immuniser cette voie, selon les chercheurs. L'analogie technique et opérationnelle la plus proche dans l'histoire récente est l'explosion de Checkm8 2019, qui a laissé les puces A5-A11 hors de la gamme des correctifs; pour le contexte technique et les précédents voir la page publique sur Checkm8 https: / / fr.wikipedia.org / wiki / Checkm8.

Les implications pour la sécurité des entreprises et les risques élevés sont claires et difficiles : pas de patch logiciel qui ferme cette porte. Tout dispositif avec un SoC affecté maintient la vulnérabilité tant que le silicium existe physiquement. Pour les utilisateurs individuels, la probabilité de rencontrer un attaquant avec les capacités nécessaires est faible, mais pour les gouvernements, les entreprises avec des données sensibles ou des rôles avec des exigences strictes de garde, il s'agit d'une situation de garde et de retrait du matériel.

Recommandations pratiques immédiates : d'abord, inventer et classifier l'équipement en utilisant A12 / A13 / S4 / S5 par critique; deuxièmement, privilégier le remplacement par A14 ou plus tard l'équipement pour les rôles où l'intégrité physique et le démarrage sont critiques; troisièmement, appliquer des contrôles physiques stricts : ne pas laisser des dispositifs sans surveillance, utiliser le stockage et la chaîne de garde avec des enregistrements et des joints, et empêcher les dispositifs d'être connectés par USB à des hôtes ou des câbles non contrôlés. Il convient de noter que de nombreuses contre-mesures logicielles ne s'appliquent pas : l'explosion intervient avant la chaîne de démarrage signée et ne dépend pas de la configuration du système d'exploitation, de sorte que des outils tels que la gestion mobile d'affaires ou les politiques du système ne pourront pas arrêter l'exploitation si l'opposant a l'appareil en main.

Quelques mesures complémentaires et réalistes pour réduire les risques : éviter de laisser les appareils en mode DFU ou physiquement accessibles, appliquer des joints physiques et des contrôles d'entrée/sortie dans les zones de haute sécurité, et envisager l'utilisation de dispositifs de réserve ou de matériel dédié à des fonctions sensibles qui sont déjà dans les jeunes générations. Pour les utilisateurs qui veulent vérifier si votre appareil correspond à un modèle potentiellement affecté, Apple maintient la documentation pour identifier les modèles et les spécifications qui peuvent être trouvés sur sa page de support sur les modèles iPhone et iPad https: / / support.apple.com / fr-us / HT201296.

Un point critique: les chercheurs n'ont pas montré d'accès direct à l'Enclave Secure, et Apple a conçu ce composant comme une frontière séparée, mais la reprise de BootROM et SecureROM ouvre de nouveaux vecteurs qui pourraient faciliter des attaques physiques supplémentaires Par conséquent, il n'est pas approprié de considérer l'absence de test des engagements de l'enclave comme une garantie de sécurité finale.

Enfin, le fait que le concept test et le code sont publics modifie l'équation : ce qui est aujourd'hui la recherche et la démonstration peuvent devenir demain un outil plus accessible pour les acteurs avec des ressources. Les agents de sécurité doivent supposer que la disponibilité du public réduit les obstacles techniques et ajustent les politiques de garde, les exigences en matière de matériel et les cycles de renouvellement en conséquence. Pour être tenu au courant des avis officiels et des modes d'exploitation, il est recommandé de surveiller à la fois les communications du fabricant et les bases de données et les centres d'intervention en cas d'incident. https: / / nvd.nist.gov /.

En bref, usbliter8 est un rappel difficile que les vulnérabilités matérielles peuvent être permanentes et que la sécurité physique et la sélection des plateformes sont des décisions stratégiques : contrôler qui a un accès physique à l'appareil et quand il peut être connecté par USB fait maintenant partie de la surface de sécurité que les organisations doivent gérer activement.