Apple выпустила еще одну серию исправлений безопасности для устранения трех активно используемых ошибок нулевого дня, влияющих на iOS, iPadOS, macOS, watchOS и Safari, доведя общее количество ошибок нулевого дня, обнаруженных в ее программном обеспечении в этом году, до 16.
Список уязвимостей в системе безопасности выглядит следующим образом -
Обновления доступны для следующих устройств и операционных систем -
Раскрытие происходит через две недели после того, как Apple устранила две другие активно используемые ошибки нулевого дня (CVE-2023-41061 и CVE-2023-41064), которые были связаны как часть цепочки эксплойтов iMessage с нулевым кликом под названием BLASTPASS для развертывания шпионского ПО-наемника, известного как Pegasus.
За этим последовали исправления, внесенные Google и Mozilla, содержащие уязвимость в системе безопасности (CVE-2023-4863), которая может привести к выполнению произвольного кода при обработке специально созданного изображения.
Есть основания полагать, что CVE-2023-41064, уязвимость переполнения буфера в платформе анализа изображений Apple Image I / O, и CVE-2023-4863, переполнение буфера кучи в библиотеке изображений WebP (libwebp), могут относиться к одной и той же ошибке, по словам основателя Isosceles и бывшего исследователя Google Project Zero Бена Хокса.
Rezilion в анализе, опубликованном в четверг, показала, что библиотека libwebp используется в нескольких операционных системах, программных пакетах, приложениях Linux и образах контейнеров, подчеркнув, что область уязвимости намного шире, чем первоначально предполагалось.
"Хорошей новостью является то, что ошибка, похоже, исправлена правильно в вышестоящем libwebp, и это исправление распространяется везде, где оно должно быть", - сказал Хоукс. "Плохая новость заключается в том, что libwebp используется во многих местах, и может пройти некоторое время, пока исправление не достигнет насыщенности".
Список уязвимостей в системе безопасности выглядит следующим образом -
- CVE-2023-41991 - Проблема с проверкой сертификата в системе безопасности, которая может позволить вредоносному приложению обойти проверку подписи.
- CVE-2023-41992 - Ошибка безопасности в ядре, которая может позволить локальному злоумышленнику повысить свои привилегии.
- CVE-2023-41993 - Ошибка WebKit, которая может привести к выполнению произвольного кода при обработке специально созданного веб-контента.
Обновления доступны для следующих устройств и операционных систем -
- iOS 16.7 и iPadOS 16.7 - iPhone 8 и более поздние версии, iPad Pro (все модели), iPad Air 3-го поколения и более поздних версий, iPad 5-го поколения и более поздних версий и iPad mini 5-го поколения и более поздних версий
- iOS 17.0.1 и iPadOS 17.0.1 - iPhone XS и более поздних версий, iPad Pro 12,9-дюймовый 2-го поколения и более поздних версий, iPad Pro 10,5-дюймовый, iPad Pro 11-дюймовый 1-го поколения и более поздних версий, iPad Air 3-го поколения и более поздних версий, iPad 6-го поколения и более поздних версий, iPad mini 5-го поколения и более поздних версий
- macOS Monterey 12.7 и macOS Ventura 13.6
- watchOS 9.6.3 и watchOS 10.0.1 - Apple Watch Series 4 и более поздние версии
- Safari 16.6.1 - macOS Big Sur и macOS Monterey
Раскрытие происходит через две недели после того, как Apple устранила две другие активно используемые ошибки нулевого дня (CVE-2023-41061 и CVE-2023-41064), которые были связаны как часть цепочки эксплойтов iMessage с нулевым кликом под названием BLASTPASS для развертывания шпионского ПО-наемника, известного как Pegasus.
За этим последовали исправления, внесенные Google и Mozilla, содержащие уязвимость в системе безопасности (CVE-2023-4863), которая может привести к выполнению произвольного кода при обработке специально созданного изображения.
Есть основания полагать, что CVE-2023-41064, уязвимость переполнения буфера в платформе анализа изображений Apple Image I / O, и CVE-2023-4863, переполнение буфера кучи в библиотеке изображений WebP (libwebp), могут относиться к одной и той же ошибке, по словам основателя Isosceles и бывшего исследователя Google Project Zero Бена Хокса.
Rezilion в анализе, опубликованном в четверг, показала, что библиотека libwebp используется в нескольких операционных системах, программных пакетах, приложениях Linux и образах контейнеров, подчеркнув, что область уязвимости намного шире, чем первоначально предполагалось.
"Хорошей новостью является то, что ошибка, похоже, исправлена правильно в вышестоящем libwebp, и это исправление распространяется везде, где оно должно быть", - сказал Хоукс. "Плохая новость заключается в том, что libwebp используется во многих местах, и может пройти некоторое время, пока исправление не достигнет насыщенности".
