À retenir : – Apple va corriger la faille de sécurité avec Safari 18. – Les sites envoyant des requêtes vers l’adresse IP 0.0.0.0 seront bloqués. – La faille a permis aux pirates d’accéder à des données privées. – Les attaques ciblent principalement les particuliers et entreprises avec serveurs web. – Un correctif sera disponible en septembre ou octobre.
Apple a annoncé que Safari 18 sera mis à jour pour corriger une importante faille de sécurité liée à l’adresse IP 0.0.0.0. Cette mise à jour vise à empêcher les sites malveillants d’envoyer des requêtes vers cette adresse, une vulnérabilité qui sera résolue sur plusieurs versions de macOS, notamment Sequoia, Sonoma et Ventura.
Il est connu que des navigateurs comme Safari, Chrome et Firefox permettent actuellement l’envoi de requêtes vers 0.0.0.0 et les redirigent ensuite vers d’autres adresses IP, y compris localhost. Cette configuration est souvent utilisée pour tester du code en développement ou pour des connexions réseau privées.
Des chercheurs de la société israélienne Oligo ont récemment alerté sur le fait que cette faille a été exploitée par des hackers cherchant à récolter des données sensibles qui auraient dû rester protégées. Ils ont nommé cette méthode d’attaque « 0.0.0.0-day ». Dans ce type d’attaque, un hacker incite sa victime à se rendre sur un site apparemment inoffensif qui déclenche alors une requête malveillante afin d’accéder aux fichiers via 0.0.0.0.
Avi Lumelsky, chercheur en sécurité chez Oligo, précise : « Le code du développeur et la messagerie interne sont de bons exemples d’informations accessibles immédiatement. » Il ajoute que profiter de cette vulnérabilité permettrait aux attaquants d’accéder au réseau privé interne de leurs victimes, ouvrant ainsi la voie à divers vecteurs d’attaque potentiels.
Bien que ces attaques semblent principalement viser les particuliers et les entreprises ayant leur propre serveur web, il est estimé qu’un nombre considérable de systèmes pourraient être touchés par cette faille.
Selon Apple, le correctif prévu pour traiter ce problème sera intégré dans Safari 18 lors du lancement prévu en septembre ou octobre prochain. Google prévoit également des mises à jour similaires pour Chrome afin de renforcer la sécurité contre cette menace ; toutefois Mozilla n’a pas encore décidé d’un blocage complet avec Firefox et continue ses recherches pour trouver une solution adéquate.
Rédacteur en chef de Kame House, Nicolas est un passionné des nouvelles technologies et des jeux vidéos depuis toujours. Roule fièrement en Tesla Model 3 depuis 2022 !
