Компания Apple выпустила обновления безопасности для старых моделей iPhone, устраняющие уязвимость нулевого дня CVE-2023-41064, которая активно использовалась для заражения iOS-устройств шпионской программой Pegasus компании NSO.
CVE-2023-31064 - это дефект удаленного выполнения кода, который эксплуатируется при отправке вредоносных изображений через iMessage.
Как сообщала компания Citizen Lab в начале этого месяца, CVE-2023-31064 и второй дефект, отслеживаемый как CVE-2023-41061, использовались в цепочке атак "с нулевым кликом", получившей название BLASTPASS, которая предполагает отправку специально созданных изображений во вложениях iMessage PassKit для установки шпионского ПО.
При получении и обработке вложения телефоны устанавливали шпионское ПО Pegasus от NSO даже на полностью исправленные устройства с iOS (16.6).
Компания Apple выпустила исправления для двух дефектов в macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 и watchOS 9.6.2, а CISA опубликовала предупреждение, требующее от федеральных агентств выполнить исправление до 2 октября 2023 года.
В настоящее время обновления безопасности перенесены на iOS 15.7.9 и iPadOS 15.7.9, macOS Monterey 12.6.9 и macOS Big Sur 11.7.10, что позволяет предотвратить использование данной цепочки атак на этих устройствах.
Стоит отметить, что поддержка iOS 15 завершилась год назад, в сентябре 2022 года, в то время как Monterey и Big Sur производитель по-прежнему поддерживает.
Обновления безопасности распространяются на все модели iPhone 6s, iPhone 7, первое поколение iPhone SE, iPad Air 2, четвертое поколение iPad mini и седьмое поколение iPod touch.
Хотя на компьютерах с macOS атак не наблюдалось, теоретически дефект может эксплуатироваться и там, поэтому настоятельно рекомендуется применить обновления безопасности.
С начала года компания Apple устранила в общей сложности 13 "нулевых дней", используемых для атак на устройства под управлением iOS, macOS, iPadOS и watchOS, в том числе:
- два "нулевых дня" (CVE-2023-37450 и CVE-2023-38606) в июле
- Три "нулевых дня" (CVE-2023-32434, CVE-2023-32435 и CVE-2023-32439) в июне
- Еще три нуль-дня (CVE-2023-32409, CVE-2023-28204 и CVE-2023-32373) в мае
- Два "нулевых дня" (CVE-2023-28206 и CVE-2023-28205) в апреле
- Нулевой день WebKit (CVE-2023-23529) в феврале
По новым правилам Дзена свежие материалы показываются в первую очередь подписчикам, которые реагируют на публикации. Поэтому не забывайте подписаться, поставить лайк и оставить комментарий, так вы будете первым узнавать о всех новых статьях на нашем канале!
