30 ноября компания Apple выпустила iOS 17.1.2 и iPadOS 17.1.2 для исправления пары уязвимостей нулевого дня, которые, по данным Apple, уже были найдены и использованы. Уязвимость нулевого дня — это уязвимость, о которой разработчики не знали и которая может быть использована до момента ее устранения. Оба дефекта, обнаруженные в iOS 17.1.2, касаются браузерного движка WebKit на iPhone XS и новее, iPad Pro 12,9 дюйма 2-го поколения и новее, iPad Pro 10,5 дюйма, iPad Pro 11 дюймов 1-го поколения и новее, iPad Air 3-го поколения и новее, iPad 6-го поколения и новее, а также iPad mini 5-го поколения и новее.
Первая уязвимость может привести к раскрытию конфиденциальной информации во время обработки веб-контента. Apple заявила, что ей известно о сообщении, в котором говорится, что уязвимость использовалась в версиях iOS до iOS 16.7.1. Проблема получила код Common Vulnerabilities and Exposures (CVE) CVE-2023–42916 и была обнаружена Клеманом Лецином (Clément Lecigne) из группы анализа угроз Google.
Исправляемый недостаток позволял злоумышленникам читать память за пределами буфера, что давало им возможность видеть конфиденциальную и личную информацию. Речь идет о той информации, которая может привести к опустошению банковского счета пользователя или несанкционированному использованию его кредитных карт. Apple утверждает, что проблема запрещенного считывания была решена с помощью улучшенной проверки вводимых данных.
CVE-номер второй уязвимости — CVE-2023–42917, и она также была обнаружена Клеманом Лецином (Clément Lecigne) из группы анализа угроз Google. С помощью этой уязвимости обработка веб-контента может привести к выполнению произвольного кода, что позволяет злоумышленнику выполнять любые команды или код, а также, возможно, красть личную информацию.
Как и в случае с первым CVE, эта информация может раскрыть определенные пароли или предоставить другую информацию, позволяющую злоумышленнику проникнуть на ваш банковский счет или использовать ваши кредитные карты для покупки вещей, которые могут быть быстро конвертированы в наличные. Плохая новость заключается в том, что эта уязвимость, по словам Apple, использовалась и до выхода iOS 16.7.1. Apple заявила, что уязвимость повреждения памяти была устранена с помощью улучшенной блокировки.
Чтобы установить обновление, перейдите в Настройки> Общие> Обновление ПО.
