Apple спешит исправить 3 новых недостатка нулевого дня: iOS, macOS, Safari и более уязвимые

[Carding]

Apple выпустила еще одну серию исправлений безопасности для устранения трех активно используемых ошибок нулевого дня, влияющих на iOS, iPadOS, macOS, watchOS и Safari, доведя общее количество ошибок нулевого дня, обнаруженных в ее программном обеспечении в этом году, до 16.

Список уязвимостей в системе безопасности выглядит следующим образом -

• CVE-2023-41991 - Проблема с проверкой сертификата в системе безопасности, которая может позволить вредоносному приложению обойти проверку подписи.
• CVE-2023-41992 - Ошибка безопасности в ядре, которая может позволить локальному злоумышленнику повысить свои привилегии.
• CVE-2023-41993 - Ошибка WebKit, которая может привести к выполнению произвольного кода при обработке специально созданного веб-контента.

Apple не предоставила дополнительных подробностей, за исключением подтверждения того, что "проблема, возможно, активно использовалась в версиях iOS до iOS 16.7".

Обновления доступны для следующих устройств и операционных систем -

• iOS 16.7 и iPadOS 16.7 - iPhone 8 и более поздние версии, iPad Pro (все модели), iPad Air 3-го поколения и более поздних версий, iPad 5-го поколения и более поздних версий и iPad mini 5-го поколения и более поздних версий
• iOS 17.0.1 и iPadOS 17.0.1 - iPhone XS и более поздних версий, iPad Pro 12,9-дюймовый 2-го поколения и более поздних версий, iPad Pro 10,5-дюймовый, iPad Pro 11-дюймовый 1-го поколения и более поздних версий, iPad Air 3-го поколения и более поздних версий, iPad 6-го поколения и более поздних версий, iPad mini 5-го поколения и более поздних версий
• macOS Monterey 12.7 и macOS Ventura 13.6
• watchOS 9.6.3 и watchOS 10.0.1 - Apple Watch Series 4 и более поздние версии
• Safari 16.6.1 - macOS Big Sur и macOS Monterey

Обнаружение недостатков и сообщение о них приписывают Биллу Марчаку из Citizen Lab в Школе Манк Университета Торонто и Мэдди Стоун из Группы анализа угроз Google (TAG), указывая, что они, возможно, подверглись злоупотреблениям в рамках высоконаправленных шпионских программ, нацеленных на членов гражданского общества, которые подвергаются повышенному риску киберугроз.

Раскрытие происходит через две недели после того, как Apple устранила две другие активно используемые ошибки нулевого дня (CVE-2023-41061 и CVE-2023-41064), которые были связаны как часть цепочки эксплойтов iMessage с нулевым кликом под названием BLASTPASS для развертывания шпионского ПО-наемника, известного как Pegasus.

За этим последовали исправления, внесенные Google и Mozilla, содержащие уязвимость в системе безопасности (CVE-2023-4863), которая может привести к выполнению произвольного кода при обработке специально созданного изображения.

Есть основания полагать, что CVE-2023-41064, уязвимость переполнения буфера в платформе анализа изображений Apple Image I / O, и CVE-2023-4863, переполнение буфера кучи в библиотеке изображений WebP (libwebp), могут относиться к одной и той же ошибке, по словам основателя Isosceles и бывшего исследователя Google Project Zero Бена Хокса.

Rezilion в анализе, опубликованном в четверг, показала, что библиотека libwebp используется в нескольких операционных системах, программных пакетах, приложениях Linux и образах контейнеров, подчеркнув, что область уязвимости намного шире, чем первоначально предполагалось.

"Хорошей новостью является то, что ошибка, похоже, исправлена правильно в вышестоящем libwebp, и это исправление распространяется везде, где оно должно быть", - сказал Хоукс. "Плохая новость заключается в том, что libwebp используется во многих местах, и может пройти некоторое время, пока исправление не достигнет насыщенности".