Apple đã phát hành một đợt cập nhật bảo mật khác để giải quyết nhiều lỗ hổng trong iOS và macOS, bao gồm cả lỗ hổng zero-day mới đã được sử dụng trong các cuộc tấn công tự nhiên.
Vấn đề, đã chỉ định số nhận dạng CVE-2022-32917được bắt nguồn từ thành phần Kernel và có thể cho phép một ứng dụng độc hại thực thi mã tùy ý với các đặc quyền của kernel.
“Apple đã biết về một báo cáo rằng vấn đề này có thể đã được khai thác tích cực”, nhà sản xuất iPhone thừa nhận trong một tuyên bố ngắn gọn, đồng thời cho biết thêm rằng họ đã giải quyết lỗi bằng các kiểm tra ràng buộc được cải thiện.
Một nhà nghiên cứu ẩn danh đã được cho là đã báo cáo thiếu sót. Cần lưu ý rằng CVE-2022-32917 cũng là lỗ hổng zero-day thứ hai liên quan đến Kernel mà Apple đã khắc phục trong vòng chưa đầy một tháng.
Các bản vá có sẵn trong các phiên bản iOS 15.7, iPadOS 15.7, iOS 16, macOS Big Sur 11.7 và macOS Monterey 12.6. Các bản cập nhật iOS và iPadOS bao gồm iPhone 6s trở lên, iPad Pro (tất cả các kiểu máy), iPad Air 2 trở lên, iPad thế hệ thứ 5 trở lên, iPad mini 4 trở lên và iPod touch (thế hệ thứ 7).
Với các bản sửa lỗi mới nhất, Apple đã giải quyết được bảy lỗ hổng zero-day được khai thác tích cực và một lỗ hổng zero-day được biết đến công khai kể từ đầu năm –
CVE-2022-22587 (IOMobileFrameBuffer) – Một ứng dụng độc hại có thể thực thi mã tùy ý với các đặc quyền hạt nhân
CVE-2022-22594 (WebKit Storage) – Một trang web có thể theo dõi thông tin nhạy cảm của người dùng (được biết đến công khai nhưng không được khai thác tích cực)
CVE-2022-22620 (WebKit) – Việc xử lý nội dung web được tạo thủ công có thể dẫn đến việc thực thi mã tùy ý
CVE-2022-22674 (Trình điều khiển đồ họa intel) – Một ứng dụng có thể đọc bộ nhớ nhân
CVE-2022-22675 (AppleAVD) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền hạt nhân
CVE-2022-32893 (WebKit) – Việc xử lý nội dung web được tạo thủ công có thể dẫn đến việc thực thi mã tùy ý
CVE-2022-32894 (Nhân) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền của nhân
Bên cạnh CVE-2022-32917, Apple đã cắm 10 lỗ hổng bảo mật trong iOS 16, bao gồm Danh bạ, Bản đồ hạt nhân, MediaLibrary, Safari và WebKit. Bản cập nhật iOS 16 cũng đáng chú ý khi kết hợp Chế độ khóa mới được thiết kế để làm cho các cuộc tấn công bằng không nhấp chuột khó hơn.
iOS giới thiệu thêm một tính năng có tên là Rapid Security Response giúp người dùng có thể tự động cài đặt các bản sửa lỗi bảo mật trên thiết bị iOS mà không cần cập nhật hệ điều hành đầy đủ.
“Phản hồi bảo mật nhanh cung cấp các cải tiến bảo mật quan trọng nhanh hơn, trước khi chúng trở thành một phần của các cải tiến khác trong bản cập nhật phần mềm trong tương lai”, Apple cho biết trong một tài liệu hỗ trợ sửa đổi được công bố hôm thứ Hai.
Cuối cùng, iOS 16 cũng hỗ trợ mật khẩu trong trình duyệt web Safari, một cơ chế đăng nhập không cần mật khẩu cho phép người dùng đăng nhập vào các trang web và dịch vụ bằng cách xác thực thông qua Touch ID hoặc Face ID.
.
