Deux failles de sécurité menacent les Mac, iPhone et iPad récents : quels sont les risques ?

Des chercheurs en sécurité ont découvert deux failles dans les puces Apple qui équipent de nombreux modèles de Mac, d'iPhone et d'iPad récents. Si elle reconnait le problème, la firme à la pomme estime qu'il n'y a pas de danger immédiat.
Contrairement à ce que laisse entendre une légende urbaine tenace, les produits Apple ne sont pas des forteresses inviolables. Même si la firme à la pomme attache une grande importance à la sécurité, ils ne sont pas à l'abri de failles et de vulnérabilités, comme tous les appareils électroniques qui combinent qui utilisent des processeurs et des logiciels. Une récente alerte lancée par des chercheurs en sécurité vient le rappeler. Et elle est d'autant plus étonnante qu'elle concerne tous les produits récents de la marque, des Mac aux iPhone en passant par les iPad. De quoi inquiéter bon nombreux d'utilisateurs se croyant à l'abri de toute menace.
Des chercheurs du Georgia Institute of Technology ont ainsi découvert dans certains processeurs Apple deux failles de sécurité critiques qu'ils ont surnommées SLAP et FLOP et qui exposent de nombreux appareils à du vol de données. Ces vulnérabilités concernent les puces M2, M3, A15, A16 et A17 et plus précisément un mécanisme clé qui visait initialement à améliorer les performances, mais qui s'avère aujourd'hui être une porte d'entrée pour des attaques potentiellement dévastatrices.
Failles SLAP et FLOP : un risque de vol de données
Depuis l'introduction des processeurs Apple Silicon, la firme de Cupertino a fait le pari d'améliorer l'efficacité de ses puces grâce à un processus appelé exécution spéculative. Similaire à ce que l'on trouve sur des puces Intel et AMD, ce mécanisme prédictif permet aux processeurs de devancer certaines instructions en anticipant les données qu'ils auront à traiter, dans le but de gagner en rapidité. Cependant, cette technologie présente des risques si les prédictions échouent, laissant une fenêtre d'exploitation aux pirates.
Les puces M2, A15 et plus récentes utilisent une fonction appelée LAP (Load Address Prediction), qui prédit l'adresse mémoire à laquelle le processeur va accéder. FLOP, pour sa part, concerne les modèles plus évolués comme les M3 et A17, avec une fonction supplémentaire appelée LVP (Load Value Prediction), capable de prédire la valeur exacte des données en mémoire. En théorie, ces fonctionnalités sont conçues pour offrir des gains de vitesse substantiels. Mais en pratique, elles introduisent des failles.
SLAP (Speculative Load Address Prediction) exploite les erreurs faites par les processeurs lors de la prédiction des adresses mémoire. En " formant " malicieusement l'algorithme de prédiction, les attaquants peuvent accéder à des données sensibles d'autres processus, même sans avoir accès physique à l'appareil. FLOP (False Load Output Prediction), quant à elle, cible directement la valeur des données renvoyées par la mémoire. Ces deux failles permettent de contourner les protections en place, telles que le sandboxing des navigateurs, une fonctionnalité pourtant essentielle à la sécurité de Chrome et Safari.
En clair, un site Web malveillant peut exploiter SLAP ou FLOP pour voler des informations privées et sensibles. Les chercheurs ont démontré qu'un utilisateur visitant une page infectée pouvait se faire voler des informations sensibles, comme son historique de localisation sur Google Maps, ses emails dans Proton Mail ou encore ses événements d'agenda iCloud. Ces failles rappellent celles de type Spectre et Meltdown, qui avaient marqué le monde de la cybersécurité en 2018.
Failles SLAP et FLOP : quels sont les appareils concernés ?
La majorité des appareils récents d'Apple sont vulnérables à SLAP et FLOP. Les modèles à risque incluent :
tous les MacBook (Air et Pro) sortis depuis 2022
les Mac Mini, iMac, Mac Studio et Mac Pro de 2023
les iPad Pro, Air et Mini sortis depuis septembre 2021
les iPhone 13, 14, 15, 16, et l'iPhone SE 3e génération
En cause, les processeurs M2, M3, A15, A16 et A17, qui équipent ces appareils. Ces puces intègrent des mécanismes de prédiction de l'adresse mémoire (LAP) et de la valeur des données (LVP), qui sont à l'origine des failles. Les chercheurs expliquent que, si ces prédictions échouent, elles permettent à un attaquant de manipuler le processeur pour extraire des informations confidentielles.
SLAP et FLOP sont particulièrement préoccupantes car elles ne nécessitent pas d'accès physique à l'appareil pour être exploitées. Il suffit de convaincre l'utilisateur de visiter une page web malveillante. Une fois la machine infectée, des informations comme des historiques de navigation, des messages non chiffrés ou encore des données bancaires peuvent être siphonnées.
Cependant, aucune exploitation malveillante de ces failles n'a été observée à ce jour. Apple a affirmé qu'il n'y avait pas de "risque immédiat" pour ses utilisateurs, tout en reconnaissant le problème et en promettant de travailler sur un correctif. En attendant, les chercheurs recommandent de maintenir ses appareils à jour et d'être prudent sur les sites visités.