Vulnérabilité critique dans une bibliothèque Swift : menace pour iOS et macOS

Vulnérabilité critique dans une bibliothèque Swift (iOS/macOS) populaire : ce que les développeurs doivent savoir

L'écosystème Apple a toujours été réputé pour sa sécurité, mais même dans les environnements les plus fiables, des vulnérabilités critiques sont parfois découvertes. Cette semaine, des chercheurs en cybersécurité de la société Wardle Security ont signalé une erreur dangereuse dans une bibliothèque largement utilisée pour Swift (iOS et macOS). Le problème a reçu l'identifiant CVE-2024-27818 et affecte des milliers d'applications, y compris des solutions d'entreprise et bancaires.

Nature de la vulnérabilité

La bibliothèque SwiftSecureNetworking (pseudonyme, le nom réel a été modifié par mesure de sécurité jusqu'au correctif officiel) est utilisée pour chiffrer les connexions réseau et traiter les certificats dans les applications iOS et macOS. La vulnérabilité est liée à une vérification incorrecte de la chaîne de certificats SSL lors de l'utilisation du protocole TLS 1.3. Un attaquant peut falsifier un certificat et injecter un code malveillant, interceptant ainsi toutes les données échangées entre l'appareil et le serveur.

Selon le rapport, la vulnérabilité affecte les versions de la bibliothèque de 2.1.0 à 2.6.3. Son exploitation ne nécessite pas d'accès physique à l'appareil : il suffit que l'utilisateur se connecte à un réseau Wi-Fi non sécurisé ou clique sur un lien de phishing.

Risques potentiels

• Vol d'identifiants — les noms d'utilisateur, mots de passe et jetons d'authentification peuvent être interceptés.
• Fuite d'informations financières — les applications bancaires utilisant cette bibliothèque sont menacées.
• Injection de logiciels malveillants — via la substitution du certificat, un code malveillant peut être téléchargé sur l'appareil.
• Atteinte à la confidentialité des communications — les messageries et clients de messagerie peuvent également être compromis.

Qui est concerné ?

Le problème concerne les applications qui utilisent SwiftSecureNetworking pour traiter les requêtes HTTPS, les connexions WebSocket et les notifications push. Sont particulièrement vulnérables :

• Les applications financières (banques en ligne, portefeuilles de crypto-monnaies)
• Les services médicaux (télémédecine, stockage de dossiers médicaux)
• Les applications d'entreprise pour le travail à distance
• Les applications pour appareils IoT contrôlés depuis un iPhone/Mac

Recommandations pour les développeurs

Il est fortement recommandé aux développeurs d'applications Swift de :

• Mettre à jour la bibliothèque vers la version 2.7.0 ou supérieure (le correctif a déjà été publié).
• Vérifier les dépendances via Swift Package Manager — la version vulnérable a pu être incluse de manière transitive.
• Effectuer un audit du code pour détecter l'utilisation de méthodes de chiffrement obsolètes.
• Renforcer la surveillance des connexions réseau côté serveur.

Réaction de la communauté

Sur les forums Apple Developer et GitHub, une discussion active a déjà eu lieu. De nombreux développeurs notent que la vulnérabilité a pu exister pendant plus d'un an avant d'être découverte. Certains experts critiquent Apple pour le manque de vérification automatique des bibliothèques tierces dans l'App Store. « C'est un rappel que même dans l'écosystème Apple, la sécurité nécessite une attention constante