Một lỗ hổng bảo mật trong Apple Safari đã được khai thác vào đầu năm nay, ban đầu đã được sửa vào năm 2013 và được giới thiệu lại vào tháng 12 năm 2016, theo một báo cáo mới từ Google Project Zero.
Vấn đề, được theo dõi là CVE-2022-22620 (điểm CVSS: 8,8), liên quan đến một trường hợp lỗ hổng sử dụng sau khi sử dụng miễn phí trong thành phần WebKit có thể bị khai thác bởi một phần nội dung web được chế tạo đặc biệt để thực thi mã tùy ý.
Vào đầu tháng 2 năm 2022, Apple đã gửi các bản vá cho lỗi này trên Safari, iOS, ipados và macOS, đồng thời thừa nhận rằng nó “có thể đã bị khai thác tích cực.”
“Trong trường hợp này, biến thể đã được vá hoàn toàn khi lỗ hổng bảo mật lần đầu được báo cáo vào năm 2013”, Maddie Stone của Google Project Zero cho biết. “Tuy nhiên, biến thể này đã được giới thiệu lại ba năm sau đó trong những nỗ lực tái cấu trúc lớn. Lỗ hổng bảo mật sau đó tiếp tục tồn tại trong 5 năm cho đến khi nó được sửa chữa dưới dạng 0 ngày hoang dã vào tháng 1 năm 2022.”
Mặc dù cả hai lỗi 2013 và 2022 trong API Lịch sử về cơ bản giống nhau, nhưng các đường dẫn để kích hoạt lỗ hổng bảo mật là khác nhau. Sau đó, những thay đổi mã tiếp theo được thực hiện nhiều năm sau đó đã làm sống lại lỗ hổng zero-day từ cõi chết giống như một “thây ma”.
Nói rõ sự cố không phải là duy nhất đối với Safari, Stone nhấn mạnh thêm rằng cần dành đủ thời gian để kiểm tra mã và các bản vá để tránh các trường hợp trùng lặp các bản sửa lỗi và hiểu các tác động bảo mật của các thay đổi đang được thực hiện.
“Cả cam kết tháng 10 năm 2016 và tháng 12 năm 2016 đều rất lớn. Cam kết vào tháng 10 đã thay đổi 40 tệp với 900 lần bổ sung và 1225 lần xóa. Lần cam kết vào tháng 12 đã thay đổi 95 tệp với 1336 lần bổ sung và 1325 lần xóa”, Stone lưu ý.
“Có vẻ như bất kỳ nhà phát triển hoặc người đánh giá nào cũng không thể hiểu chi tiết ý nghĩa bảo mật của từng thay đổi trong các cam kết đó, đặc biệt là vì chúng liên quan đến ngữ nghĩa lâu dài.”
.
