Suivi KEV › Apple

CVE-2024-27834 Apple, plusieurs produits : vulnérabilité d'authentification incorrecte

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 4 novembre 2026.

  • Produit : Apple Multiple Products
  • Ajoutée au catalogue : 4 novembre 2026
  • Échéance CISA : 18 novembre 2026
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-287
  • Gravité : CVSS 5,5 (moyenne)
  • Probabilité d’exploitation (EPSS) : 1 %

Apple iOS, iPadOS, macOS, Safari, tvOS et watchOS 10.5 contiennent une vulnérabilité d'authentification incorrecte qui pourrait permettre à un attaquant disposant d'une capacité de lecture et d'écriture arbitraire de contourner l'authentification par pointeur.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.apple.com · support.apple.com · support.apple.com

Sur IP73 : CVE-2024-27834 : faille d’authentification activement exploitée sur produits Apple

Gravité et exploitation

  • Score CVSS 3.1 : 5,5 sur 10, gravité moyenne CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
  • Exploitable avec un accès local à la machine, avec un compte ordinaire, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 0,6 %, parmi les 51 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • safari : versions < 17.5
  • ipados : versions < 17.5
  • iphone os : versions < 17.5
  • macos : versions ≥ 14.0 et < 14.5
  • tvos : versions < 17.5
  • watchos : versions < 10.5
  • webkitgtk : versions < 2.44.2
  • wpe webkit : versions < 2.44.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Authentification incorrecte (CWE-287) : Le produit ne prouve pas ou prouve insuffisamment que l'identité revendiquée par un acteur est correcte.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Article IP73 : CVE-2024-27834 : faille d’authentification activement exploitée sur produits Apple
  4. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CERT-FR (ANSSI, liens), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Apple Multiple Products Improper Authentication Vulnerability

Apple iOS, iPadOS, macOS, Safari, tvOS and watchOS 10.5 contain an improper authentication vulnerability which could allow an attacker with arbitrary read and write capability to bypass pointer authentication.

Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Autres failles exploitées de Apple Multiple Products

  • CVE-2026-86950 — Apple, plusieurs produits : vulnérabilité d'écriture hors limites (29 septembre 2026)
  • CVE-2025-43520 — Apple, plusieurs produits : vulnérabilité de dépassement de tampon classique (20 mars 2026)
  • CVE-2025-43510 — Apple, plusieurs produits : vulnérabilité de verrouillage incorrect (20 mars 2026)
  • CVE-2025-31277 — Apple, plusieurs produits : dépassement de tampon (20 mars 2026)
  • CVE-2023-43000 — Apple, plusieurs produits : vulnérabilité d'utilisation après libération (5 mars 2026)
  • CVE-2021-30952 — Apple, plusieurs produits : vulnérabilité de débordement ou de retour au zéro d'entier (5 mars 2026)
  • CVE-2026-20700 — Apple, plusieurs produits : dépassement de tampon multiple (12 février 2026)
  • CVE-2025-43529 — Apple, plusieurs produits : vulnérabilité d'utilisation après libération de WebKit (15 décembre 2025)
  • CVE-2022-48503 — Apple, plusieurs produits : vulnérabilité non spécifiée (20 octobre 2025)
  • CVE-2025-43200 — Apple, plusieurs produits : vulnérabilité non spécifiée (16 juin 2025)

← Toutes les failles Apple · Suivi KEV