Ngày 14 tháng 12 năm 2022Ravie Lakshmanan Lỗ hổng Zero-Day
Apple hôm thứ Ba đã tung ra các bản cập nhật bảo mật cho trình duyệt web iOS, iPadOS, macOS, tvOS và Safari để giải quyết lỗ hổng zero-day mới có thể dẫn đến việc thực thi mã độc.
Được theo dõi dưới dạng CVE-2022-42856gã khổng lồ công nghệ mô tả sự cố này là sự cố nhầm lẫn loại trong công cụ trình duyệt WebKit có thể được kích hoạt khi xử lý nội dung được chế tạo đặc biệt, dẫn đến việc thực thi mã tùy ý.
Công ty cho biết họ “biết về một báo cáo rằng vấn đề này có thể đã được khai thác tích cực đối với các phiên bản iOS được phát hành trước ios 15.1.”
Mặc dù các chi tiết xung quanh bản chất chính xác của các cuộc tấn công vẫn chưa được biết, nhưng có khả năng nó liên quan đến một trường hợp kỹ thuật xã hội hoặc lỗ tưới nước để lây nhiễm các thiết bị khi truy cập một miền lừa đảo hoặc miền hợp pháp nhưng bị xâm phạm thông qua trình duyệt.
Cần lưu ý rằng mọi trình duyệt web của bên thứ ba có sẵn cho iOS và iPadOS, bao gồm Google Chrome, Mozilla Firefox và Microsoft Edge, cũng như các trình duyệt khác, bắt buộc phải sử dụng công cụ kết xuất WebKit do các hạn chế do Apple áp đặt.
Clément Lecigne thuộc Nhóm phân tích mối đe dọa (TAG) của Google được cho là người đã phát hiện và báo cáo sự cố. Apple lưu ý rằng họ đã giải quyết lỗi bằng cách cải thiện khả năng xử lý trạng thái.
Bản cập nhật có sẵn với iOS 15.7.2, iPadOS 15.7.2, macOS Ventura 13.1, tvOS 16.2 và Safari 16.2, đến hai tuần sau khi Apple vá lỗi tương tự trong iOS 16.1.2 vào ngày 30 tháng 11 năm 2022.
Bản sửa lỗi đánh dấu việc giải quyết lỗ hổng zero-day thứ mười được phát hiện trong phần mềm của Apple kể từ đầu năm. Đây cũng là lỗ hổng zero-day được khai thác tích cực thứ chín vào năm 2022 –
CVE-2022-22587 (IOMobileFrameBuffer) – Một ứng dụng độc hại có thể thực thi mã tùy ý với các đặc quyền kernel
CVE-2022-22594 (Lưu trữ WebKit) – Một trang web có thể theo dõi thông tin nhạy cảm của người dùng (được công khai nhưng không được khai thác tích cực)
CVE-2022-22620 (WebKit) – Xử lý nội dung web thủ công độc hại có thể dẫn đến thực thi mã tùy ý
CVE-2022-22674 (Trình điều khiển đồ họa Intel) – Một ứng dụng có thể đọc bộ nhớ kernel
CVE-2022-22675 (AppleAVD) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền của kernel
CVE-2022-32893 (WebKit) – Xử lý nội dung web thủ công độc hại có thể dẫn đến thực thi mã tùy ý
CVE-2022-32894 (Kernel) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền của kernel
CVE-2022-32917 (Kernel) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền của kernel
CVE-2022-42827 (Kernel) – Một ứng dụng có thể thực thi mã tùy ý với các đặc quyền của kernel
Các bản cập nhật iOS, iPadOS và macOS mới nhất cũng giới thiệu một tính năng bảo mật mới có tên là Bảo vệ dữ liệu nâng cao cho iCloud, giúp mở rộng mã hóa đầu cuối (E2EE) cho iCloud Backup, Notes, Photos, v.v.
