Une équipe de chercheurs a reçu des centaines de milliers de dollars de primes de bogues d’Apple pour avoir signalé 55 vulnérabilités, y compris celles qui exposaient le code source, les applications des employés et des clients, les logiciels d’entrepôt et les comptes iCloud.

Les chercheurs Sam Curry, Brett Buerhaus, Ben Sadeghipour, Samuel Erb et Tanner Barnes ont décidé début juillet de participer au programme de bug bounty d’Apple et de tenter de trouver autant de vulnérabilités que possible dans les systèmes et services du géant de la technologie.

Entre le 6 juillet et le 6 octobre, ils ont découvert et signalé un total de 55 problèmes, dont 11 critiques et 29 de gravité élevée. À ce jour, Apple a effectué 32 paiements aux chercheurs pour un montant total de 288 500 $, mais ils s’attendent à recevoir davantage pour leurs conclusions dans les mois à venir.

Les chercheurs ont déclaré dans un blog publié cette semaine qu’une grande majorité des vulnérabilités qu’ils signalaient à Apple avaient été corrigées. La société a résolu certains des problèmes les plus graves en quelques heures.

Avec la permission d’Apple, les hackers white hat ont divulgué les détails d’une douzaine de vulnérabilités intéressantes qu’ils ont découvertes au cours du projet de trois mois.

Par exemple, ils ont trouvé un moyen de contourner l’authentification et l’autorisation sur le site Web Apple Distinguished Educators, ce qui aurait finalement pu permettre à un attaquant d’exécuter des commandes arbitraires sur un serveur Web Apple, d’accéder à un service de gestion de compte utilisateur interne et d’accéder à «la majorité des Réseau interne d’Apple. »

Ils ont également analysé une solution de gestion d’entrepôt tierce utilisée par Apple et découvert des vulnérabilités qui auraient pu être exploitées pour obtenir des informations hautement sensibles ou provoquer des perturbations importantes.

En outre, ils ont trouvé des failles de script intersite (XSS) stockées dans la plate-forme iCloud, qui auraient pu être exploitées pour exécuter du code arbitraire dans le navigateur d’un utilisateur ou créer un ver basé sur la messagerie électronique qui pourrait silencieusement …