Ngày 19 tháng 5 năm 2023Ravie Lakshmanan Bảo mật Zero-Day / Điểm cuối
Apple hôm thứ Năm đã tung ra các bản cập nhật bảo mật cho iOS, iPadOS, macOS, tvOS, watchOS và trình duyệt web Safari để giải quyết ba lỗ hổng zero-day mới mà hãng cho biết đang bị khai thác tích cực trên thực tế.
Ba thiếu sót bảo mật được liệt kê dưới đây –
CVE-2023-32409 – Một lỗ hổng WebKit có thể bị kẻ xấu khai thác để thoát ra khỏi hộp cát Nội dung Web. Nó đã được giải quyết với kiểm tra giới hạn được cải thiện.
CVE-2023-28204 – Sự cố đọc ngoài giới hạn trong WebKit có thể bị lợi dụng để tiết lộ thông tin nhạy cảm khi xử lý nội dung web. Nó đã được giải quyết với xác thực đầu vào được cải thiện.
CVE-2023-32373 – Một lỗi sử dụng miễn phí sau khi sử dụng trong WebKit có thể dẫn đến việc thực thi mã tùy ý khi xử lý nội dung web được tạo thủ công độc hại. Nó đã được giải quyết với quản lý bộ nhớ được cải thiện.
Nhà sản xuất iPhone đã ghi nhận Clément Lecigne thuộc Nhóm phân tích mối đe dọa của Google (TAG) và Donncha Ó Cearbhaill thuộc Phòng thí nghiệm bảo mật của Tổ chức Ân xá Quốc tế vì đã báo cáo CVE-2023-32409. Một nhà nghiên cứu ẩn danh đã được công nhận vì đã báo cáo hai vấn đề còn lại.
Điều đáng chú ý là cả CVE-2023-28204 và CVE-2023-32373 đều đã được vá như một phần của bản cập nhật Phản hồi bảo mật nhanh – iOS 16.4.1 (a) và iPadOS 16.4.1 (a) – công ty đã phát hành vào đầu năm tháng.
Hiện tại không có chi tiết kỹ thuật bổ sung nào về các lỗ hổng, bản chất của các cuộc tấn công hoặc danh tính của các tác nhân đe dọa có thể đang khai thác chúng.
Điều đó nói rằng, những điểm yếu như vậy đã từng được tận dụng như một phần của các cuộc xâm nhập có mục tiêu cao để triển khai phần mềm gián điệp đánh thuê trên thiết bị của những người bất đồng chính kiến, nhà báo và nhà hoạt động nhân quyền, cùng những người khác.
Các bản cập nhật mới nhất có sẵn cho các thiết bị sau –
iOS 16.5 và iPadOS 16.5 – iPhone 8 trở lên, iPad Pro (tất cả các mẫu), iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 5 trở lên và iPad mini thế hệ thứ 5 trở lên
iOS 15.7.6 và iPadOS 15.7.6 – iPhone 6s (tất cả các kiểu), iPhone 7 (tất cả các kiểu), iPhone SE (thế hệ 1), iPad Air 2, iPad mini (thế hệ 4) và iPod touch (thế hệ 7)
macOS Ventura 13.4 – macOS Ventura
tvOS 16.5 – Apple TV 4K (tất cả các model) và Apple TV HD
watchOS 9.5 – Apple Watch Series 4 trở lên
Safari16.5 – macOS Big Sur và macOS Monterey
Cho đến nay, Apple đã khắc phục tổng cộng sáu lỗ hổng zero-day bị khai thác tích cực kể từ đầu năm 2023. Đầu tháng 2 này, công ty đã cắm một lỗ hổng WebKit (CVE-2023-23529) có thể dẫn đến thực thi mã từ xa.
Sau đó vào tháng trước, nó đã gửi các bản sửa lỗi cho một cặp lỗ hổng (CVE-2023-28205 và CVE-2023-28206) cho phép thực thi mã với các đặc quyền nâng cao. Lecigne và Ó Cearbhaill được cho là đã báo cáo các lỗi bảo mật.
