iOS : risque de sécurité au niveau des PDF ?

La publication de l’outil de jailbreak Jailbreakme laisse entrevoir une importante faille de sécurité au niveau du système d’exploitation qui équipe l’iPhone. Le jailbreak est en effet opéré au moyen d’un fichier PDF spécialement piégé pour exploiter une vulnérabilité de sécurité. La faille ne pourrait-elle pas finir par être exploitée à des fins plus crapuleuses ?

La question est très sérieuse. Si par l’intermédiaire d’un simple fichier PDF, enrichi de quelques lignes de code soigneusement sélectionnées, il est possible d’opérer une modification aussi importante que le jailbreak, qui ouvre tout de même un accès total au système d’exploitation, on imagine sans mal ce que pourraient faire des pirates malintentionnés. Le site jailbreakme se contente en effet de faire télécharger à l’iPhone un simple document PDF. C’est ensuite une faille de sécurité au niveau de Safari Mobile qui permet que le code contenu au sein de ce PDF soit exécuté en local sur le terminal.

Il leur suffirait d’amener les internautes mobiles qui utilisent l’iPhone sur une page donnée (par le biais du spam, du phishing, ou de liens disséminés sur le Web), sur laquelle on chargerait sans le savoir un fichier PDF modifié, qui se chargerait ensuite d’opérer des modifications sur le système.

Si pour l’instant, aucun cas d’exploitation malveillante n’a été recensé, la menace est bien réelle, à tel point qu’on trouve maintenant sur Cydia un utilitaire (PDF Loading Warner) qui se charge de prévenir l’internaute lorsqu’un site Web tente de charger un document PDF au sein de Safari Mobile !

Les modalités d’exploitation de la faille qui a permis ce jailbreak en un clic ne sont en effet pas bien difficiles à trouver.

Apple aura donc deux bonnes raisons de combler la faille exploitée par l’outil de jailbreak JailbreakMe. La première sera bien sûr de protéger son écosystème logiciel. La seconde sera de protéger ses utilisateurs… Une telle vulnérabilité fait en effet mauvais genre pour une firme qui n’a de cesse d’affirmer que son système mobile est l’un des plus sûrs qui soient…