iPhone, iPad, Mac… : cette page web les fait tous planter

Les iPhone, iPad et Mac sont tous victimes d'un bug qui permet de les faire planter avec une simple page web. Le chercheur à l'origine de cette découverte, Sabri Haddouche, explique qu'il s'agit d'une faille dans le moteur de rendu WebKit de Safari. Sur smartphone, le bug force le redémarrage de l'appareil. Toutes les versions d'iOS depuis la v9 ainsi que de macOS sont touchées. 

Il n'est pas rare que des bugs soient trouvés dans iOS, ce qui l'est un peu plus, c'est que le bug en question touche aussi bien iOS que macOS, depuis des versions aujourd'hui considérées comme obsolètes jusqu'aux versions les plus récentes (dont iOS 12 et macOS Mojave). C'est pourtant le cas d'une nouvelle faille étonnante du moteur de rendu des pages web de Safari WebKit. Sabri Haddouche, à l'origine de la découverte, explique sur GitHub que le bug est lié à un problème dans la gestion du CSS qui permet d'un coup de monopoliser toutes les ressources système. Du coup, l'appareil plante.

iPhone, iPad, Mac… : un bug dans le moteur de rendu WebKit les fait tous planter

“L'attaque utilise une faiblesse de la propriété [CSS, ndlr] -webkit-backdrop-filter : en utilisant des divs imbriqués avec cette propriété, on peut rapidement consommer toutes les ressources graphiques et crasher ou provoquer un freeze de l'OS. Cette attaque ne requiert pas d'activer Javascript ce qui lui permet de fonctionner dans Mail. Sur macOS, l'interface utilisateur freeze. Sur iOS, l'appareil redémarre”, explique le chercheur. Et d'ajouter : “tous les navigateurs sur iOS sont touchés car leur moteur de rendu est webkit”. Apple n'autorise pas en effet de moteurs de rendu tiers.

Sabri Haddouche explique à Bleeping Computer qu'il a créé une attaque dérivée de cette faille qui freeze complètement les macs. L'attaque persiste même après le redémarrage de l'ordinateur, ce qui le rend complètement inutilisable jusqu'à ce que l'OS soit réinstallé. Le développeur a choisi de ne pas publier ce code. Malheureusement il n'existe pour l'heure aucun moyen de se protéger, si ce n'est d'éviter de cliquer sur le lien de rawgit.com ou Sabri Haddouche a mis en ligne un exemple qui fait planter les iPhone. Une mise à jour devrait néanmoins facilement corriger le problème.

Voici un aperçu du bug en vidéo :

Et tweet du chercheur avec un lien vers la page web qui provoque le bug (cliquez dessus à vos risques et périls sur iPhone, iPad et Mac…) :