A Apple publicou atualizações de segurança para iPhones e iPads mais antigos para aplicar patches lançados uma semana atrás, corrigindo duas vulnerabilidades zero-day exploradas em ataques.
"A Apple está ciente de um relatório de que este problema pode ter sido ativamente explorado contra versões do iOS anteriores ao iOS 16.6", disse a empresa em um comunicado.
A primeira zero-day (rastreada como
CVE-2023-42824
) é uma vulnerabilidade de escalonamento de privilégio causada por uma falha no kernel XNU que permite a invasores locais aumentar privilégios em iPhones e iPads vulneráveis.
A Apple também já corrigiu o problema no iOS 16.7.1 e iPadOS 16.7.1 com verificações aprimoradas, mas ainda não revelou quem descobriu e relatou a falha.
A segunda, um bug identificado como
CVE-2023-5217
, é causado por uma vulnerabilidade de estouro de buffer de heap dentro da codificação VP8 da biblioteca de codec de vídeo de código aberto libvpx.
Esta falha poderia permitir que invasores ganhassem execução arbitrária de código após exploração bem-sucedida.
Embora a Apple não tenha confirmado nenhum caso de exploração no mundo real, Google já corrigiu o bug libvpx como um zero-day em seu navegador da web Chrome.
A Microsoft também corrigiu a mesma vulnerabilidade nos seus produtos Edge, Teams e Skype.
O Google atribuiu a descoberta da
CVE-2023-5217
ao pesquisador de segurança Clément Lecigne, membro do Grupo de Análise de Ameaça do Google (TAG), uma equipe de especialistas em segurança conhecida por descobrir zero-days explorados em ataques de spyware por parte de estados.
A lista de dispositivos afetados pelos dois bugs zero-day é extensa e inclui:
iPhone 8 e posteriores
iPad Pro (todos os modelos), iPad Air de 3ª geração e posteriores, iPad de 5ª geração e posteriores e iPad mini de 5ª geração e posteriores
O CISA acrescentou as duas vulnerabilidades [1, 2] ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas na última semana, mandando que agências federais protejam seus dispositivos contra ataques iminentes.
Apple também abordou recentemente três zero-days (
CVE-2023-41991
,
CVE-2023-41992
e
CVE-2023-41993
) que pesquisadores do Citizen Lab e Google TAG reportaram.
Invasores as exploraram para implantar o spyware Predator da Cytrox.
Além disso, o Citizen Lab encontrou duas outras vulnerabilidades zero-day (
CVE-2023-41061
e
CVE-2023-41064
) que a Apple corrigiu mês passado.
Essas falhas faziam parte de uma cadeia de exploração zero-click conhecida como BLASTPASS e foram usadas para instalar o spyware Pegasus do Grupo NSO em iPhones totalmente atualizados.
Desde o início do ano, a Apple corrigiu 18 vulnerabilidades zero-day exploradas em ambiente real para atingir iPhones e Macs, incluindo:
dois zero-days (
CVE-2023-37450
e
CVE-2023-38606
) em julho
três zero-days (
CVE-2023-32434
,
CVE-2023-32435
e
CVE-2023-32439
) em junho
três zero-days mais (
CVE-2023-32409
,
CVE-2023-28204
e
CVE-2023-32373
) em maio
dois zero-days (
CVE-2023-28206
e
CVE-2023-28205
) em abril
e um zero-day do WebKit a mais (
CVE-2023-23529
) em fevereiro.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...