Η Apple κυκλοφόρησε έκτακτες ενημερώσεις ασφαλείας για να επιδιορθώσει μια νέα ευπάθεια zero-day, που χρησιμοποιείται σε επιθέσεις εναντίον χρηστών iPhone και iPad.
Η Apple έχει μάθει ότι αυτό το πρόβλημα μπορεί να έχει χρησιμοποιηθεί εναντίον συσκευών που τρέχουν εκδόσεις του iOS πριν από την iOS 16.6.
Πρόκειται για μια ευπάθεια στο XNU kernel και παρακολουθείται ως CVE-2023-42824. Επιτρέπει σε σε τοπικούς επιτιθέμενους να αποκτήσουν περισσότερα προνόμια σε μη ενημερωμένα iPhones και iPads.
Παρόλο που η Apple αναφέρει ότι αντιμετωπίστηκε το πρόβλημα ασφαλείας στη νέα έκδοση iOS 17.0.3 και στην iPadOS 17.0.3, δεν έχει αποκαλύψει ακόμα ποιος ανακάλυψε και ανέφερε την ευπάθεια.
Δείτε επίσης: Qualcomm: Χάκερ εκμεταλλεύονται 3 zero-days στα προγράμματα GPU και DSP
Η λίστα των επηρεαζόμενων συσκευών είναι αρκετά εκτενής και περιλαμβάνει:
- iPhone XS και μεταγενέστερα
- iPad Pro 12,9 ιντσών 2ης γενιάς και μεταγενέστερα μοντέλα, iPad Pro 10,5 ιντσών, iPad Pro 11 ιντσών 1ης γενιάς και μεταγενέστερα, iPad Air 3ης γενιάς και μεταγενέστερα, iPad 6ης γενιάς και μεταγενέστερα, και iPad mini 5ης γενιάς και μεταγενέστερα
Η Apple αντιμετώπισε, επίσης, ένα zero-day που εντοπίζεται ως CVE-2023-5217 και προκαλείται από μια αδυναμία heap buffer overflow στο VP8 encoding του open-source libvpx video codec library. Η συγκεκριμένη ευπάθεια μπορεί να επιτρέψει την εκτέλεση κώδικα.
Το πρόβλημα του libvpx έχει διορθωθεί και από την Google στον Chrome και από τη Microsoft στα προϊόντα Edge, Teams και Skype. Οι εταιρείες ανταποκρίθηκαν αποτελεσματικά στην ευπάθεια αυτή, προσφέροντας τις απαραίτητες ενημερώσεις για την αντιμετώπισή της. Το CVE-2023-5217 ανακαλύφθηκε από τον ερευνητή ασφάλειας Clément Lecigne, ο οποίος είναι μέλος της Ομάδας Ανάλυσης Απειλών (TAG) της Google, μια ομάδα από ειδικούς ασφάλειας που είναι γνωστή για την εύρεση zero-day ευπαθειών που χρησιμοποιούν κυβερνητικοί hackers για στοχευμένες επιθέσεις spyware.
Δείτε επίσης: Exim: Διορθώνει τρεις zero-day ευπάθειες
Apple: Έχει διορθώσει 17 ευπάθειες zero-day φέτος
Το CVE-2023-42824 είναι η 17η ευπάθεια zero-day που έχει διορθώσει η Apple από την αρχή του τρέχοντος έτους.
Πρόσφατα, η εταιρεία επιδιόρθωσε τρεις άλλες ευπάθειες zero-day (CVE-2023-41991, CVE-2023-41992 και CVE-2023-41993) που αναφέρθηκαν από το Citizen Lab και το Google TAG και χρησιμοποιήθηκαν σε επιθέσεις για την εγκατάσταση του Predator spyware της Cytrox.
Το Citizen Lab αποκάλυψε και δύο άλλες ευπάθειες (CVE-2023-41061 και CVE-2023-41064) – οι οποίες διορθώθηκαν από την Apple τον περασμένο μήνα – που χρησιμοποιήθηκαν ως μέρος ενός zero-click exploit chain (με την ονομασία BLASTPASS) για την μόλυνση πλήρως ενημερωμένων iPhones με το κατασκοπευτικό λογισμικό Pegasus της NSO Group.
Οι υπόλοιπες ευπάθειες που έχουν χρησιμοποιηθεί εναντίον iPhones και Macs, φέτος, είναι οι εξής:
- δύο zero-days (CVE-2023-37450 και CVE-2023-38606) τον Ιούλιο
- τρεις zero-days (CVE-2023-32434, CVE-2023-32435 και CVE-2023-32439) τον Ιούνιο
- τρεις zero-days (CVE-2023-32409, CVE-2023-28204 και CVE-2023-32373) τον Μάιο
- δύο zero-days (CVE-2023-28206 και CVE-2023-28205) τον Απρίλιο
- και άλλο ένα WebKit zero-day (CVE-2023-23529) τον Φεβρουάριο
Το νέο αυτό update ασφαλείας αποτελεί ένα σημαντικό βήμα για την Apple στη διαρκή προσπάθεια εξασφάλισης της προστασίας των χρηστών της από διάφορες απειλές. Το νέο zero-day που έγινε γνωστό πρόσφατα αποτελεί τέλειο παράδειγμα. Για να αντιμετωπίσει αυτή τη zero-day απειλή, η Apple ανέπτυξε και διέθεσε ειδική ενημέρωση λογισμικού.
Δείτε επίσης: Google: Διορθώνει το πέμπτο Chrome zero-day για φέτος
Είναι επίσης σημαντικό να λάβουμε υπόψη ότι η ασφάλεια δεν πρέπει να εξαντλείται μόνο στην ενημέρωση του λογισμικού. Συχνά, οι χρήστες πρέπει να ακολουθούν και άλλες πρακτικές, όπως η χρήση ισχυρών κωδικών πρόσβασης, η αποφυγή ύποπτων links και η διαχείριση των προσωπικών πληροφοριών με σύνεση, για να διατηρήσουν την ασφάλεια των συσκευών και των δεδομένων τους.
Η νέα έκδοση iOS 17.0.3 της Apple αντιμετωπίζει, πέρα από το zero-day, ένα γνωστό πρόβλημα που προκαλεί υπερθέρμανση σε iPhones που εκτελούν iOS 17.0.2 και χαμηλότερη έκδοση.
Πηγή: www.bleepingcomputer.com