Η Apple κυκλοφόρησε ενημερώσεις ασφαλείας για την αντιμετώπιση της πρώτης φετινής ευπάθειας zero-day που εκμεταλλεύτηκε σε επιθέσεις που θα μπορούσαν να επηρεάσουν τα iPhone, Mac και Apple TV.
Η ημέρα μηδέν που καθορίστηκε σήμερα παρακολουθείται ως CVE-
2024
-23222 [
iOS
,
macOS
,
tvOS
] και είναι ένα ζήτημα σύγχυσης στο
WebKit
που θα μπορούσαν να εκμεταλλευτούν οι εισβολείς για να κερδίσουν την εκτέλεση κώδικα σε στοχευμένες συσκευές.
Η επιτυχής εκμετάλλευση επιτρέπει στους παράγοντες
απε
ιλών να εκτελούν αυθαίρετο κακόβουλο κώδικα σε συσκευές που εκτελούν ευάλωτες εκδόσεις iOS, macOS και
tvOS
μετά το άνοιγμα μιας κακόβουλης ιστοσελίδας.
“Η επεξεργασία κακόβουλα δημιουργημένου περιεχομένου ιστού μπορεί να οδηγήσει σε αυθαίρετη εκτέλεση κώδικα. Η Apple γνωρίζει μια αναφορά ότι αυτό το ζήτημα μπορεί να έχει γίνει αντικείμενο εκμετάλλευσης”, δήλωσε σήμερα η Apple.
Η εταιρεία δεν έχει ακόμη αποδώσει την ανακάλυψη αυτής της ευπάθειας ασφαλείας σε έναν ερευνητή ασφάλειας. Παρόλο που η εταιρεία αποκάλυψε ότι γνωρίζει την εκμετάλλευση στην άγρια φύση, δεν έχει ακόμη δημοσιεύσει περισσότερες λεπτομέρειες σχετικά με αυτές τις επιθέσεις.
Η Apple απευθύνθηκε στο CVE-2024-23222 με βελτιωμένους ελέγχους σε iOS 16.7.5 και μεταγενέστερες εκδόσεις, iPadOS 16.7.5 και μεταγενέστερες, και macOS Monterey 12.7.3 και νεότερες εκδόσεις, καθώς και σε tvOS 17.3 και μεταγενέστερες εκδόσεις.
Η πλήρης λίστα των συσκευών που επηρεάζονται από αυτό το WebKit zero-day είναι αρκετά εκτενής, καθώς το σφάλμα επηρεάζει παλαιότερα και νεότερα μοντέλα, όπως:
- iPhone 8, iPhone 8 Plus, iPhone X, iPad 5ης γενιάς, iPad Pro 9,7 ιντσών και iPad Pro 12,9 ιντσών 1ης γενιάς
- iPhone XS και μεταγενέστερα, iPad Pro 12,9 ιντσών 2ης γενιάς και μεταγενέστερα, iPad Pro 10,5 ιντσών, iPad Pro 11 ιντσών 1ης γενιάς και μεταγενέστερα, iPad Air 3ης γενιάς και μεταγενέστερα, iPad 6ης γενιάς και μεταγενέστερα, και iPad mini 5ης γενιάς και αργότερα
- Mac που τρέχουν macOS Monterey και μεταγενέστερα
-
Apple TV HD και
Apple TV 4K
(όλα τα μοντέλα)
Ενώ αυτή η ευπάθεια zero-day πιθανότατα χρησιμοποιήθηκε μόνο σε στοχευμένες επιθέσεις, η εγκατάσταση των σημερινών ενημερώσεων ασφαλείας το συντομότερο δυνατόν συνιστάται ιδιαίτερα για τον αποκλεισμό πιθανών προσπαθειών επίθεσης.
Σήμερα, η Apple υποστήριξε επίσης ενημερώσεις κώδικα σε παλαιότερα μοντέλα iPhone και iPad για δύο άλλες μηδενικές ημέρες WebKit (CVE-2023-42916 και CVE-2023-42917) που επιδιορθώθηκαν τον Νοέμβριο.
Πέρυσι, η εταιρεία διόρθωσε συνολικά 20 ελαττώματα μηδενικής ημέρας που εκμεταλλεύτηκαν στη φύση, μεταξύ των οποίων:
VIA:
bleepingcomputer.com
