Un exploit iPhone 11 qualifié d'”non corrigeable” a été publié le mois dernier par la société de recherche en cybersécurité Paradigm Shift, puis retiré après qu’une plainte judiciaire a été déposée par l’entreprise de criminalistique numérique Magnet Forensics, selon des documents judiciaires. Magnet Forensics allègue que la vulnérabilité révélée correspondait substantiellement à un travail réalisé par son ancien employé Mario Del Gaudio, et accuse une exposition de secrets commerciaux.
## Exploit iPhone 11 au cœur d’un litige entre sociétés
La plainte, déposée ce mois-ci devant un tribunal fédéral de Géorgie, affirme que le défaut divulgué par Paradigm Shift est “substantiellement le même” que celui sur lequel Mario Del Gaudio travaillait avant de rejoindre la nouvelle équipe. Magnet Forensics soutient par conséquent que Del Gaudio a exposé des informations protégées appartenant à son ancien employeur. Après le dépôt de la plainte, Paradigm Shift a retiré son billet de blog rendant public l’exploit.
## Une vulnérabilité ancrée dans le boot ROM: pourquoi elle ne se corrige pas
La faille en question affecte les puces A12 et A13 d’Apple, qui animent notamment les iPhone XS et la série iPhone 11, ainsi que certains autres appareils. Il s’agit d’une vulnérabilité du boot ROM — du code stocké en mémoire morte dans la puce — ce qui signifie qu’elle ne peut pas être corrigée via une mise à jour logicielle iOS. Cette nature “non corrigeable” est centrale : une fois exploitée, la faiblesse relève du matériel et reste présente tant que l’architecture de la puce n’est pas remplacée.
## Enjeux pour la sécurité et la diffusion de la vulnérabilité
La publication initiale de Paradigm Shift avait mis en lumière un exploit iPhone 11 difficile à neutraliser par des moyens logiciels. La suppression du billet a réduit l’accès public aux détails techniques, tandis que la procédure intentée par Magnet Forensics vise à déterminer si des secrets commerciaux ont été appropriés et partagés. D’un point de vue pratique, la combinaison d’une vulnérabilité matérielle persistante et d’une controverse juridique complique l’évaluation publique du risque et la diffusion d’informations techniques sur l’exploit.
La procédure
