🔍 Contexte

Publié le 4 août 2026 par les chercheurs Talal Haj Bakry et Tommy Mysk (blog Mysk), cet article présente les résultats d’une investigation sur des fuites réseau découvertes dans WebKit, le moteur de rendu imposé par Apple pour tous les navigateurs iOS. L’enquête a débuté suite à un signalement d’un utilisateur du navigateur Psylo.

🐛 Vulnérabilités identifiées

Trois fonctionnalités WebKit ont été identifiées comme contournant la configuration proxy définie via WKWebsiteDataStore.proxyConfigurations :

  • DNS Prefetching (<link rel="dns-prefetch">) : résout les noms d’hôtes via le chemin DNS normal du dispositif, exposant les serveurs DNS réels de l’utilisateur. Disponible depuis iOS 26.0 (septembre 2025). Ne passe pas par iCloud Private Relay.
  • WebAuthn Related Origin Requests : lors d’une cérémonie WebAuthn avec un rpId différent de l’origine, le service de credentials du système d’exploitation effectue une requête HTTPS directement depuis le dispositif, exposant l’adresse IP réelle. Disponible depuis iOS 18.0 (septembre 2024). Peut être déclenché sans interaction utilisateur via mediation: "conditional".
  • WebTransport : ouvre une connexion QUIC/HTTP3 directement depuis le dispositif sans passer par le proxy configuré, exposant l’adresse IP réelle. Disponible depuis iOS 26.4 (mars 2026).

🎯 Périmètre d’impact

  • Tous les navigateurs proxy basés sur WebKit sur iOS (dont les navigateurs Tor sur iOS, Psylo)
  • iCloud Private Relay d’Apple (affecté par les trois fuites)
  • Non affectés : les VPNs (tunnellisation au niveau système) et Onion Browser au niveau de sécurité “Silver” (Lockdown Mode désactive WebTransport)

🛡️ Mitigations

Les trois fuites ont été corrigées dans Psylo 1.3.1 :

  • Blocage des hints dns-prefetch
  • Désactivation par défaut de WebTransport
  • Désactivation par défaut de WebAuthn

Les chercheurs ont également contacté le Tor Project et les développeurs d’Onion Browser sur iOS. Un site de preuve de concept est disponible à leaks.psylo.app.

📄 Nature de l’article

Il s’agit d’une publication de recherche technique produite par les développeurs de Psylo, visant à documenter des fuites réseau dans WebKit affectant la confidentialité des utilisateurs de navigateurs proxy et d’iCloud Private Relay sur iOS et macOS.

🧠 TTPs et IOCs détectés

TTP

  • T1590.002 — Gather Victim Network Information: DNS (Reconnaissance)
  • T1090 — Proxy (Command and Control)

IOC

🟡 Indice de vérification factuelle : 39/100 (moyenne)

  • ⬜ mysk.blog — source non référencée (0pts)
  • ✅ 9870 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ 0/1 IOCs confirmés externellement (0pts)
  • ✅ 2 TTP(s) MITRE (8pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://mysk.blog/2026/08/04/webkit-proxy-icloud-private-relay-ip-leak/