Sur iPhone, une application est censée rester dans son propre espace et ne pas pouvoir fouiller les fichiers de ses voisines. C’est précisément cette barrière qui pourrait être contournée par worse_query, une vulnérabilité rendue publique par le chercheur forcequitOS, avec 0xjohnny.
Un risque qui dépasserait une seule application
Selon forcequitOS, une app malveillante pourrait exploiter cette faille pour accéder à des données locales appartenant à d’autres applications. Ce type d’attaque, souvent appelé « sortie de sandbox », remettrait en cause l’un des mécanismes de sécurité les plus importants d’iOS : l’isolation entre les apps installées sur le même appareil.
Binance a de son côté alerté ses utilisateurs sur les informations potentiellement visées dans ce scénario, notamment les phrases de récupération, les clés privées et les identifiants de connexion stockés par des apps. Le danger ne concernerait donc pas uniquement une app précise : les données conservées localement par plusieurs services pourraient être exposées si une application hostile parvenait à tirer parti de la vulnérabilité.
Des versions récentes d’iOS seraient concernées
ForcequitOS indique que le problème serait toujours présent dans iOS 27.2.1 ainsi que dans la première bêta d’iOS 27.3. Binance cite aussi iOS 26.7.1 et iOS 27.0.1 parmi les versions potentiellement touchées. Apple a publié iOS 27.2.1 et iOS 26.7.3 le 9 novembre, mais le chercheur estime que worse_query restait exploitable après cette mise à jour.
Le chercheur a également partagé la capture d’un échange daté du 10 octobre, dans lequel Apple indiquait examiner son signalement. La divulgation publique intervient alors qu’aucun correctif n’avait été identifié par forcequitOS dans les versions citées.
Les gestes utiles à adopter dès maintenant
Binance recommande de supprimer les applications issues de sources auxquelles vous ne faites pas confiance, particulièrement celles installées par sideloading ou via des fichiers IPA signés manuellement. Installer les mises à jour officielles d’iOS et des applications reste également conseillé.
Pour les personnes qui pensent qu’un compte Binance a pu être compromis, la plateforme préconise de créer un nouveau portefeuille depuis un appareil sain, d’y déplacer les fonds, puis de réinitialiser les sessions de connexion.
Ce que ça change
Le sandboxing limite habituellement les conséquences d’une app malveillante : même si elle est installée, elle ne devrait pas pouvoir consulter les données de toutes les autres. Si le scénario décrit par forcequitOS se confirme, choisir soigneusement ses installations devient encore plus important, surtout pour les utilisateurs qui conservent des informations sensibles ou des accès financiers sur leur iPhone.
À lire aussi
Source : forcequitOS (X)