mobile-hacker.com rapporte une vulnérabilité critique dans l’application Air Keyboard pour iOS, révélée le 13 juin 2025, qui expose les utilisateurs à des attaques de type injection de saisie à distance sur les réseaux Wi-Fi locaux.
La faille, documentée dans le rapport CXSecurity, permet à un attaquant sur le même réseau local d’envoyer des frappes au clavier sur un appareil iOS cible sans nécessiter d’authentification. Cette vulnérabilité est due au fait que l’application écoute sur le port TCP 8888 pour les entrées entrantes sans aucune forme d’authentification ou de chiffrement.
Un script Python de preuve de concept accompagne le rapport, démontrant comment un attaquant peut fabriquer des données et injecter à distance des frappes arbitraires sur l’appareil de la victime. Une démonstration vidéo confirme également la facilité d’exécution de cette attaque.
L’application reste disponible sur l’App Store dans cet état vulnérable, sans correctif ni avertissement émis aux utilisateurs. Air Keyboard est conçue pour transformer un appareil mobile en clavier et souris sans fil pour un ordinateur, se connectant via le réseau local à une application de bureau sur Windows ou macOS.
Cet article est une analyse technique visant à tester l’exploit, examiner la version Android de l’application et fournir des conseils de sécurité.
🔗 Source originale : https://www.mobile-hacker.com/2025/07/17/remote-input-injection-vulnerability-in-air-keyboard-ios-app-still-unpatched/