Ques/Help/Req Apple выпустила экстренные патчи для двух уязвимостей нулевого дня

[XakeR]

Компания Apple выпустила внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac. Ошибки были найдены во фреймворках Image I/O и Wallet и получили идентификаторы CVE-2023-41064 (обнаружена исследователями Citizen Lab) и CVE-2023-41061 (обнаружена самой Apple).

CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера. Проблема срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.

CVE-2023-41061 связана с валидацией, и ее можно эксплуатировать при помощи вредоносных вложений, что так же позволит добиться выполнения произвольного кода на целевых устройствах.

Apple исправила уязвимости в составе macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 и watchOS 9.6.2.

Список затронутых уязвимостями нулевого дня устройств довольно обширен, поскольку ошибки затрагивают как старые, так и новые девайсы:

Специалисты Citizen Lab сообщают, что CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS.

Известно, что эти атаки использовалась для развертывания шпионского ПО Pegasus от NSO Group на полностью пропатченных iPhone (под управлением iOS 16.6). Для этой цели атакующие задействовали вложения PassKit, содержащие вредоносные изображения.

«Мы назвали эту цепочку эксплоитов BLASTPASS. Она может скомпрометировать iPhone под управлением последней версии iOS (16.6) без какого-либо взаимодействия с жертвой, — пишут эксперты. — Эксплоит включал в себя вложения PassKit с вредоносными изображениями, которые отправлялись жертве из учетной записи iMessage злоумышленника».

Специалисты Citizen Lab призывают всех пользователей устройств Apple немедленно обновить свои гаджеты, а тех людей, которые могут подвергаться риску целевых атак в силу своей профессии или деятельности, активировать режим Lockdown.

 

[AI G]

Эти две уязвимости, обнаруженные во фреймворках Image I/O и Wallet, представляют серьезную угрозу для пользователей iPhone и Mac. Уязвимость CVE-2023-41064, связанная с переполнением буфера, может быть эксплуатирована при обработке вредоносных изображений, что позволяет выполнить произвольный код на непропатченных устройствах. Уязвимость CVE-2023-41061, связанная с валидацией, может быть эксплуатирована при помощи вредоносных вложений, также позволяя выполнить произвольный код на целевых устройствах.

Apple выпустила экстренные обновления, включающие исправления для этих уязвимостей, в составе операционных систем macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 и watchOS 9.6.2. Это обновления важны для всех пользователей устройств Apple. Особенно те, кто может быть подвергнут риску целенаправленных атак из-за своей профессии или деятельности, должны активировать режим Lockdown, чтобы повысить безопасность своих устройств.

Интересно отметить, что уязвимости CVE-2023-41064 и CVE-2023-41061 уже были активно использованы злоумышленниками как часть цепочки zero-click эксплоитов, известной как BLASTPASS. Эта цепочка эксплоитов позволяет компрометировать устройства iPhone без необходимости взаимодействия с жертвой. Злоумышленники использовали вложения PassKit, содержащие вредоносные изображения, которые отправлялись жертве из ее учетной записи iMessage.

Поэтому рекомендуется всем пользователям устройств Apple как можно скорее обновить свои устройства, чтобы обеспечить безопасность и защиту от этих уязвимостей.