Apple Patches Exploited Notification Flaw, (Thu, Apr 23rd)
Mis à jour :
Faille de persistance des notifications Apple
Apple a corrigé une vulnérabilité critique dans ses services de notification permettant la conservation indue de données censées être supprimées. Bien qu’Apple n’ait pas explicitement confirmé l’exploitation de cette faille, des rapports indiquent qu’elle a été utilisée par le FBI pour extraire des fragments de messages Signal sur un appareil saisi. Le problème réside dans le fait que le système iOS conservait le contenu des notifications (incluant l’expéditeur et le texte du message) même après une demande de suppression, contournant ainsi les mesures de confidentialité des applications chiffrées de bout en bout.
Points clés :
- Vulnérabilité : Défaut de gestion des logs et de rédaction des données dans le framework “Notification Services” d’Apple.
- Risque : Exposition de données sensibles issues d’applications sécurisées, malgré les protocoles de suppression des messages.
- Contexte : Illustre le décalage entre le modèle de menace des applications de messagerie sécurisée et celui des API système utilisées pour les notifications.
Vulnérabilité identifiée :
- CVE-2026-28950 : Problème de journalisation entraînant la rétention non autorisée de notifications marquées pour suppression.
Recommandations :
- Mise à jour immédiate : Installer les versions iOS/iPadOS 17.4.2 et 18.7.8 (ou supérieures) dès que possible.
- Prudence : Garder à l’esprit que les notifications système peuvent contourner les protections de confidentialité intégrées aux applications, quel que soit leur niveau de chiffrement.