Η Apple κυκλοφόρησε ενημερώσεις ασφαλείας έκτακτης ανάγκης για να διορθώσει τρεις νέες ευπάθειες
zero-day
που εκμεταλλεύονται σε επιθέσεις που στοχεύουν χρήστες
iPhone
και Mac, για συνολικά 16 zero-days που διορθώθηκαν φέτος.
Βρέθηκαν δύο σφάλματα στη μηχανή του προγράμματος περιήγησης WebKit (CVE-2023-41993) και στο πλαίσιο ασφαλείας (CVE-2023-41991), επιτρέποντας στους εισβολείς να παρακάμψουν την επικύρωση υπογραφής χρησιμοποιώντας κακόβουλες εφαρμογές ή να αποκτήσουν αυθαίρετη εκτέλεση κώδικα μέσω ιστοσελίδων που έχουν δημιουργηθεί με κακόβουλο τρόπο.
Το τρίτο βρέθηκε στο Kernel Framework, το οποίο παρέχει API και υποστήριξη για επεκτάσεις πυρήνα και προγράμματα οδήγησης συσκευών που εδρεύουν στον πυρήνα. Οι τοπικοί εισβολείς μπορούν να εκμεταλλευτούν αυτό το ελάττωμα (CVE-2023-41992) για να κλιμακώσουν τα προνόμια.
Η Apple διόρθωσε τα τρία σφάλματα zero-day στο macOS 12.7/13.6, iOS 16.7/17.0.1, iPadOS 16.7/17.0.1 και watchOS 9.6.3/10.0.1 αντιμετωπίζοντας ένα πρόβλημα επικύρωσης πιστοποιητικού και μέσω βελτιωμένων ελέγχων.
“Η Apple γνωρίζει μια αναφορά ότι αυτό το ζήτημα μπορεί να έχει γίνει ενεργή εκμετάλλευση έναντι εκδόσεων του iOS πριν από το iOS 16.7”, η εταιρεία
αποκάλυψε
σε
συμβουλές ασφαλείας
περιγράφοντας τα ελαττώματα ασφαλείας.
Η λίστα των επηρεαζόμενων συσκευών περιλαμβάνει παλαιότερα και νεότερα μοντέλα συσκευών και περιλαμβάνει:
- iPhone 8 και μεταγενέστερα
- iPad mini 5ης γενιάς και μεταγενέστερη
- Mac που τρέχουν macOS Monterey και νεότερα
-
Apple Watch
Series 4 και νεότερη έκδοση
Και
οι τρεις zero-days βρέθηκαν και αναφέρθηκαν από τον Bill Marczak του Citizen Lab στο Munk School του Πανεπιστημίου του Τορόντο και τη Maddie Stone της Ομάδας Ανάλυσης Απειλών της Google.
Ενώ η Apple δεν έχει δώσει ακόμη πρόσθετες λεπτομέρειες σχετικά με την εκμετάλλευση των ελαττωμάτων στη φύση, οι ερευνητές ασφαλείας του Citizen Lab και της Google Threat Analysis Group έχουν συχνά αποκαλύψει σφάλματα zero day που καταχρώνται σε στοχευμένες επιθέσεις spyware που στοχεύουν άτομα υψηλού κινδύνου, συμπεριλαμβανομένων δημοσιογράφων, πολιτικών της αντιπολίτευσης. και αντιφρονούντες.
Το Citizen Lab αποκάλυψε δύο άλλες μηδενικές ημέρες (CVE-2023-41061 και CVE-2023-41064), που επιδιορθώθηκαν επίσης από την Apple σε ενημερώσεις ασφαλείας έκτακτης ανάγκης νωρίτερα αυτόν τον μήνα και χρησιμοποιήθηκαν ως μέρος μιας αλυσίδας εκμετάλλευσης μηδενικού κλικ (με το όνομα BLASTPASS) για μόλυνση πλήρως επιδιορθωμένα iPhone με το εμπορικό
λογισμικό
κατασκοπείας Pegasus του Ομίλου NSO.
Από την αρχή του έτους, η Apple έχει επίσης διορθώσει: