Apple, bir hafta önce yayınlanan eski iPhone'lar ve iPad'ler için güvenlik güncellemeleri yayınladı ve saldırılarda sömürülen iki sıfır günlük güvenlik açıkına hitap etti.
Şirket, "Apple, bu sorunun iOS 16.6'dan önce iOS sürümlerine karşı aktif olarak kullanılmış olabileceğine dair bir raporun farkında." Dedi.
İlk sıfır günü (CVE-2023-42824 olarak izlenir), XNU çekirdeğinde yerel saldırganların savunmasız iPhone'lara ve iPad'lere ayrıcalıkları yükseltmesine izin verebilecek bir zayıflığın neden olduğu bir ayrıcalık artış kırılganlığıdır.
Apple şimdi iOS 16.7.1 ve iPados 16.7.1'deki sorunu geliştirilmiş kontrollerle düzeltti, ancak kusuru kimin keşfettiğini ve bildirdiğini henüz açıklamadı.
İkincisi, CVE-2023-5217 olarak tanımlanan bir hataya, açık kaynaklı libvpx video codec kütüphanesinin VP8 kodlaması içinde bir yığın tampon taşma güvenlik açığı neden olur. Bu kusur, tehdit aktörlerinin başarılı bir sömürü üzerine keyfi kod yürütme kazanmasına izin verebilir.
Apple, vahşi doğada herhangi bir sömürü vakasını onaylamamasına rağmen, Google daha önce LIBVPX hatasını Chrome Web tarayıcısında sıfır gün olarak yamaladı. Microsoft ayrıca kenarı, takımlarında ve Skype ürünlerinde aynı güvenlik açığını da ele aldı.
Google, CVE-2023-5217'nin keşfini, Google'ın tehdit analiz grubunun (TAG) bir üyesi olan güvenlik araştırmacısı Clément Lecigne'e, yüksekte istismar edilen sıfır günleri ortaya çıkardığı bilinen güvenlik uzmanlarından oluşan bir ekibe bağladı. Risk Bireyleri.
İki sıfır günlük böcekten etkilenen cihazların listesi geniştir ve şunları içerir:
CISA, geçen hafta bilinen sömürülen güvenlik açıkları kataloğuna iki güvenlik açıkını [1, 2] ekleyerek federal ajanslara cihazlarını gelen saldırılara karşı güvence altına almalarını emretti.
Apple kısa süre önce Citizen Lab ve Google Tag'den araştırmacıların bildirdiği üç sıfır gün (CVE-2023-41991, CVE-2023-41992 ve CVE-2023-41993) hitap etti. Tehdit oyuncuları Cytrox'un Predator casus yazılımını dağıtmak için onları sömürdü.
Buna ek olarak, Citizen Lab, geçen ay Apple tarafından sabitlenen iki sıfır günlük güvenlik açığı (CVE-2023-41061 ve CVE-2023-41064) buldu.
Bu kusurlar, BlastPass olarak bilinen sıfır tıkalı bir istismar zincirinin bir parçası olarak kullanıldı ve NSO Group'un Pegasus casus yazılımlarını tamamen yamalı iPhone'lara kurmak için kullanıldı.
Yılın başlangıcından bu yana, Apple, iPhone'ları ve Mac'leri hedeflemek için vahşi doğada sömürülen 18 sıfır günlük güvenlik açıklarını yamaladı:
Apple Acil Durum Güncellemesi, iPhone'ları hacklemek için kullanılan yeni sıfır günü düzeltiyor
Apple, iPhone'lara Saldırı için Susturan 2 Yeni Sıfır Gününü Açıklıyor, Macs
Cisa, govt ajanslarını casus yazılım saldırılarına karşı iPhone'ları güvence altına almaları konusunda uyarıyor
Apple Backports Blastpass eski iPhone'lara sıfır gün düzeltmesi
Apple, 'Güvenlik Araştırması' iPhone'ları almak için 2024 uygulamayı açar
Kaynak: Bleeping Computer