Apple patche une faille de sécurité sur les outils MDM d’iOS

La société Appthority alerte les utilisateurs sur une faille d’iOS affectant particulièrement le monde de l’entreprise : en effet, celle-ci touche les outils de Mobile Device Management proposés sur l’OS mobile d’Apple et permet à un attaquant de récupérer les identifiants transmis à un utilisateur lorsque celui-ci accède aux serveurs, app stores et services gérés directement par l’entreprise.

Baptisée Quicksand, cette faille de Sandbox permet concrètement à une application tierce d’accéder au répertoire d’iOS où sont stockés les identifiants ainsi que l’adresse du serveur géré par l’entreprise. Une faille corrigée dans la dernière mise à jour d’iOS, la version 8.4.1, mais celle-ci n’est pas encore déployée sur la majorité des terminaux détenus par les utilisateurs.

Et pour cause, de nombreux articles relatent les nombreux problèmes apportés par cette mise à jour : surconsommation de la batterie, interruption du Wi-Fi, freeze lors d’appels… Autant de raisons qui peuvent décourager les utilisateurs souhaitant se mettre à jour.

Pour les entreprises néanmoins, la problématique est différente : comme l’explique Appthority, la faille peut permettre à une autre application installée sur le téléphone d’accéder aux identifiants transmis par l’entreprise à l’utilisateur. Une faille délicate à exploiter, mais qui pourrait tout à fait être envisagée dans des scénarios impliquant du spear phishing ou en diffusant une application totalement légitime sur Itunes qui aurait pour tache de scanner les terminaux des cibles et de faire fuiter les identifiants récupérés.

Toutes les applications peuvent accéder au répertoire où sont stockés les identifiants, ce qui implique selon Appthority, qu’une application destinée à récupérer ces données sur un terminal cible et à les exfiltrer pourrait passer sans trop de problèmes les garde-fous de l’App Store et se présenter comme une application parfaitement légitime.