Une faille d'évasion du bac à sable iOS non corrigée expose les données des portefeuilles de crypto sur les versions récentes

La plateforme d'échange de cryptomonnaies Binance a émis un avertissement concernant une vulnérabilité de sécurité critique affectant les iPhones fonctionnant sous iOS 26 et 27. Le défaut, connu sous le nom de worse_query, permet aux applications malveillantes de contourner le bac à sable (sandbox) iOS et d'accéder aux données sensibles stockées par d'autres applications, y compris les clés privées et les phrases de récupération (seed phrases). Les mises à jour logicielles les plus récentes d'Apple ne semblent pas traiter ce problème spécifique, laissant les utilisateurs potentiellement exposés jusqu'à la publication d'un correctif.

Ce qui s'est passé

Les chercheurs forcequit et 0xjohnny ont publié le code d'exploitation sur GitHub dimanche, soit un jour seulement avant qu'Apple ne déploie ses dernières mises à jour iOS. La vulnérabilité permet à une application de lire des fichiers provenant des conteneurs de données d'autres applications, brisant ainsi l'isolation qui maintient normalement les données des applications séparées et sécurisées. Cela représente un risque sévère pour les utilisateurs de cryptomonnaies, car les applications de portefeuille stockent souvent des identifiants critiques localement sur l'appareil.

Binance a conseillé à ses utilisateurs de prendre immédiatement des mesures préventives, bien qu'elle n'ait signalé aucun vol actif ou attaque liée à cet exploit. L'exchange a recommandé de supprimer toute application installée depuis des sources non fiables, telles que celles sideloadées ou signées manuellement, et de s'assurer qu'iOS ainsi que toutes les applications installées sont à jour. Pour les utilisateurs soupçonnant que leur appareil a pu être compromis, Binance a suggéré de transférer les fonds vers un nouveau portefeuille créé sur un appareil propre et de réinitialiser toutes les sessions de connexion actives.

Les chercheurs ont déclaré avoir publié le code plus tôt que prévu parce qu'Apple tardait à répondre à leurs rapports et que des informations erronées se propageaient en ligne. Forcequit a noté sur X : « Apple traînait à me répondre et les gens commençaient à faire semblant de l'utiliser ici. » Malgré la publication publique, ni les chercheurs ni Binance n'ont confirmé d'exploits réels entraînant des pertes financières.

Comment cela fonctionne

L'exploit worse_query cible le mécanisme de bac à sable iOS, conçu pour empêcher les applications d'accéder aux données les unes des autres. Pour fonctionner, l'exploit nécessite qu'une application configure un conteneur App Group, une fonctionnalité généralement utilisée pour partager des données entre les applications d'un même développeur. Une fois ce conteneur établi, le code de preuve de concept peut accéder au conteneur de données de chaque application sur l'appareil, et même à certains dossiers système sur iOS 27.

Le développeur Christoph Kolbicz a déjà construit un gestionnaire de fichiers fonctionnel appelé WQ Files en utilisant cet exploit. Cette application peut être installée via des outils de sideloading comme AltStore et SideStore, qui configurent automatiquement le App Group nécessaire lorsqu'ils sont liés à un identifiant Apple. WQ Files permet aux utilisateurs de consulter, modifier, supprimer et effacer les données d'autres applications sans nécessiter de jailbreak ni d'exploit au niveau du noyau. Il reste à déterminer si une application distribuée via l'App Store officiel pourrait exploiter cette vulnérabilité, car personne parmi les parties impliquées n'a confirmé une telle possibilité.

Détails clés

• La vulnérabilité affecte les iPhones fonctionnant sous iOS 26 et 27, avec certains rapports suggérant une prise en charge d'iOS 27.2.1.
• L'exploit, nommé worse_query, a été publié par les chercheurs forcequit et 0xjohnny sur GitHub.
• Les mises à jour récentes d'Apple, iOS 27.2.1 et iOS 26.7.3, ont corrigé des problèmes iMessage et Bluetooth mais ne mentionnaient pas de correctif pour cette évasion du bac à sable.
• L'exploit nécessite un conteneur App Group, que les outils de sideloading peuvent créer automatiquement.
• Aucune attaque ou vol confirmé n'a été signalé, mais le risque pour le stockage local des portefeuilles crypto est élevé.
• Binance conseille aux utilisateurs de supprimer les applications sideloadées et de déplacer les fonds en cas de suspicion de violation.

Pourquoi c'est important

Pour les ingénieurs logiciels et les professionnels de la sécurité, cet incident met en évidence la fragilité du sandboxing mobile lorsque des fonctionnalités avancées de communication inter-applications sont impliquées. Le fait qu'un appareil non jailbreaké puisse voir ses données d'application accédées par une autre application installée sape une promesse fondamentale de sécurité de l'écosystème iOS. Les développeurs créant des applications financières ou sensibles à la sécurité doivent supposer que le stockage local peut ne pas être entièrement sûr si un utilisateur a installé des logiciels non fiables.

Le retard dans la réponse d'Apple et la publication publique ultérieure de l'exploit soulignent également les défis de la divulgation responsable. Lorsque les fournisseurs ne communiquent pas de délais ou ne reconnaissent pas la gravité, les chercheurs peuvent se sentir contraints de rendre public pour avertir les utilisateurs, même si un correctif n'est pas prêt. Cette dynamique crée une fenêtre de vulnérabilité où les attaquants peuvent développer des versions armées du code de preuve de concept avant qu'un correctif ne soit disponible.

Ce que vous pouvez faire

• Supprimez toute application installée depuis des sources non fiables, y compris celles sideloadées via AltStore ou SideStore.
• Mettez votre iPhone à jour vers la dernière version iOS disponible, bien que notez qu'un correctif spécifique pour ce problème n'est pas encore confirmé.
• Si vous utilisez une application de portefeuille crypto, envisagez de déplacer vos actifs vers un nouveau portefeuille généré sur un appareil complètement propre.
• Réinitialisez toutes les sessions de connexion actives pour vos plateformes d'échange de cryptomonnaies et services de portefeuille.
• Surveillez les notes de sécurité officielles d'Apple pour d'éventuelles mentions futures de corrections de bac à sable ou de patchs associés.
• Évitez d'installer des gestionnaires de fichiers ou des utilitaires nécessitant un large accès au système, sauf s'ils proviennent de développeurs vérifiés et fiables.