Les deux systèmes d’exploitation d’Apple contiennent une faille permettant à un logiciel malveillant de voler certains mots de passe.

C’est ce que dévoile une équipe d’universitaires en attendant qu’Apple corrige ce dysfonctionnement.

Alors que Samsung est visé avec une faille touchant ses Galaxy, Apple vient lui aussi de se faire montrer du doigt par une équipe d’universitaires chinois et américains.

C’est une vulnérabilité d’iOS et OS X qui sont ici mis en évidence (les systèmes d’exploitation pour smartphone/tablette d’une part et ordinateur de la marque d’autre part).

Un article détaillé  explique notamment comment l’on a réussi à voler les mots de passe stockés dans l’application Trousseaux d’accès, commune à OS X et désormais iOS par le biais de la synchronisation via iCloud.

Mais les applications Twitter, Facebook, LastPass, Dashlane et Password sont également concernées.

Près de  90 % des applications concernées :

Au total, 88,6 % des applications testées (1612 sur OS X et 200 sur iOS) se sont révélées vulnérables.

Pour leur démonstration, les universitaires ont réussi à faire valider par Apple une application contenant des instructions malveillantes.

Il s’agit là d’une faille importante pour un App Store réputé comme étant très sûr grâce à son système de modération.

Certes, l'application n’a pu intercepter que les nouveaux mots de passes enregistrés dans Trousseaux d’accès et non pas ceux s’y trouvant déjà avant son installation.

L’équipe attend désormais qu’Apple corrige définitivement la faille.

Une faille rendue publique à juste titre :

 Comme elle le précise à Register, la société en avait été informée il y a six mois, mais n’a pu depuis corriger le dysfonctionnement.

Conformément à la charte de signalement mise en place par Apple, les universitaires avaient alors le droit de le rendre public une fois ce délai passé.

Un cas de figure sensiblement différent de celui rencontré par Ryan Welton avec Samsung qui lui avait alors demandé de garder secrète la faille découverte sur les Galaxy pendant plus d’un an.

Il avait finalement refusé et dévoilé la faille unilatéralement il y a quelques jours.

Les universitaires espèrent qu’elle sera au plus tard corrigée dans OS X El Capitan qui devrait être disponible à l’automne.

En attendant, la prudence devrait conduire à différer l’installation  des applications d’éditeurs inspirant peu confiance.