Компания Citizen Lab утверждает, что две "нулевые дыры", исправленные сегодня компанией Apple в экстренных обновлениях безопасности, активно использовались как часть цепочки эксплойтов "нулевого клика" (получивших название BLASTPASS) для установки коммерческого шпионского ПО Pegasus компании NSO Group на полностью исправленные модели iPhone.
Эти две ошибки, обозначенные как CVE-2023-41064 и CVE-2023-41061, позволили злоумышленникам заразить полностью пропатченный iPhone под управлением iOS 16.6, принадлежащий одной из общественных организаций Вашингтона, через вложения PassKit, содержащие вредоносные изображения.
"Мы называем цепочку эксплойтов BLASTPASS. Цепочка эксплойтов была способна скомпрометировать iPhone под управлением последней версии iOS (16.6) без какого-либо взаимодействия с жертвой", - говорится в сообщении Citizen Lab.
"Эксплойт использовал вложения PassKit, содержащие вредоносные изображения, отправленные жертве с учетной записи iMessage злоумышленника".
Citizen Lab также призвала пользователей Apple немедленно обновить свои устройства и рекомендовала тем, кто подвергается риску целевых атак из-за своей личности или профессии, активировать режим Lockdown Mode.
Исследователи безопасности Apple и Citizen Lab обнаружили две "нулевые дыры" в фреймворках Image I/O и Wallet.
CVE-2023-41064 представляет собой переполнение буфера, возникающее при обработке злонамеренно созданных изображений, а CVE-2023-41061 - проблему валидации, которая может быть использована через вредоносные вложения.
Обе проблемы позволяют угрозам получить возможность выполнения произвольного кода на непропатченных устройствах iPhone и iPad.
Apple устранила недостатки в macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 и watchOS 9.6.2, улучшив логику и обработку памяти.
Список затронутых устройств включает:
- iPhone 8 и более поздние версии
- iPad Pro (все модели), iPad Air 3-го поколения и новее, iPad 5-го поколения и новее, iPad mini 5-го поколения и новее
- компьютеры Mac под управлением macOS Ventura
- Apple Watch Series 4 и более поздние модели
С начала года компания Apple устранила в общей сложности 13 "нулевых дней", используемых для атак на устройства под управлением iOS, macOS, iPadOS и watchOS, в том числе:
- два "нулевых дня" (CVE-2023-37450 и CVE-2023-38606) в июле
- три "нулевых дня" (CVE-2023-32434, CVE-2023-32435 и CVE-2023-32439) в июне
- еще три нуль-дня (CVE-2023-32409, CVE-2023-28204 и CVE-2023-32373) в мае
- два "нулевых дня" (CVE-2023-28206 и CVE-2023-28205) в апреле
- и еще один "нулевой день" WebKit (CVE-2023-23529) в феврале
По новым правилам Дзена свежие материалы показываются в первую очередь подписчикам, которые реагируют на публикации. Поэтому не забывайте подписаться, поставить лайк и оставить комментарий, так вы будете первым узнавать о всех новых статьях на нашем канале!
