Bug dans Plans : Apple nie que les applis auraient collecté les données de localisation sans consentement

Avec iOS 16.3, Apple a corrigé une faille qui aurait permis aux applications de recueillir les informations de localisation des utilisateurs à leur insu. Le constructeur a indiqué que la version vient corriger une faille identifiée CVE-2023-23503 qui concerne Plans et a précisé qu’une application pouvait être capable de contourner les préférences de confidentialité et qu’un problème de logique a été résolu grâce à une meilleure gestion des états. À présent, Apple assure que ce n’était jamais le cas.

Ainsi, voici la déclaration d’Apple concernant les données de localisation des utilisateurs collectées sans leur autorisation :

« Chez Apple, nous sommes convaincus que les utilisateurs doivent choisir quand partager leurs données et avec qui. La semaine dernière, nous avons publié un avis concernant une vulnérabilité en matière de confidentialité qui ne pouvait être exploitée qu’à partir d’applications non standardisées sur macOS. La base de code que nous avons corrigée est partagée par iOS, iPadOS, tvOS et watchOS, de sorte que le correctif et l’avis ont été également propagés à ces systèmes d’exploitation, malgré le fait qu’ils n’ont jamais été à risque. La suggestion selon laquelle cette vulnérabilité aurait pu permettre à des applications de contourner les contrôles de l’utilisateur sur l’iPhone est fausse.

Un rapport a également suggéré à tort qu’une application iOS exploitait cette vulnérabilité ou une autre pour contourner le contrôle de l’utilisateur sur les données de localisation. Notre enquête de suivi a conclu que l’application ne contournait les contrôles de l’utilisateur par aucun mécanisme. »

Pour mieux situer l’histoire, un journaliste brésilien nommé Rodrigo Ghedin a rapporté qu’iFood – une application de livraison de repas brésilienne – était en mesure d’accéder à l’emplacement d’un utilisateur utilisant un iPhone sous iOS 16.2 même lorsqu’il a refusé à l’application tout accès à l’emplacement. Nous avons maintenant Apple qui dément la nouvelle.

Cela veut-il dire que les utilisateurs sous iOS 16.2 peuvent ne pas s’inquiéter au sujet de leurs données de localisation qui peuvent être recueillies par des applications ? En tout cas, il est conseillé de mettre à jour son iPhone.