Apple corrige três novas vulnerabilidades zero-day exploradas para hackear iPhones e Macs

19 de Maio de 2023

A Apple corrigiu três novas vulnerabilidades zero-day exploradas em ataques para invadir iPhones, Macs e iPads.

"A Apple está ciente de um relatório de que esse problema pode ter sido explorado ativamente", revelou a empresa em avisos de segurança descrevendo as falhas.

Os bugs de segurança foram todos encontrados no mecanismo de navegação multiplataforma WebKit e são rastreados como CVE-2023-32409 , CVE-2023-28204 e CVE-2023-32373 .

A primeira vulnerabilidade é uma fuga de sandbox que permite que atacantes remotos saiam dos sandboxes de conteúdo da web.

As outras duas são uma leitura fora dos limites que pode ajudar os atacantes a acessar informações sensíveis e um problema de uso após liberação que permite a execução de código arbitrário em dispositivos comprometidos, ambos após enganar os alvos para carregar páginas da web maliciosamente criadas.

A Apple corrigiu os três zero-days no macOS Ventura 13.4, iOS e iPadOS 16.5, tvOS 16.5, watchOS 9.5 e Safari 16.5 com verificações de limites, validação de entrada e gerenciamento de memória aprimorados.

A lista de dispositivos impactados é bastante extensa, pois o bug afeta modelos mais antigos e mais novos, e inclui: A empresa também revelou que CVE-2023-28204 e CVE-2023-32373 (relatados por pesquisadores anônimos) foram abordados pela atualização de patches Rapid Security Response (RSR) para dispositivos iOS 16.4.1 e macOS 13.3.1 emitidos em 1º de maio.

Um porta-voz da Apple não respondeu a um pedido de mais detalhes quando contatado pelo BleepingComputer na época sobre quais falhas foram corrigidas com as atualizações do RSR de maio.

Embora a Apple diga que está ciente de que os três zero-days corrigidos hoje estão em exploração, ela não compartilhou nenhuma informação sobre esses ataques.

No entanto, os avisos de hoje revelam que CVE-2023-32409 foi relatado por Clément Lecigne do Google Threat Analysis Group e Donncha Ó Cearbhaill do Security Lab da Amnesty International.

As organizações das quais os dois pesquisadores fazem parte divulgam regularmente detalhes sobre campanhas apoiadas pelo estado que exploram bugs zero-day para implantar spyware mercenário nos smartphones e computadores de políticos, jornalistas, dissidentes e outros.

Em abril, a Apple corrigiu outros dois zero-days ( CVE-2023-28206 e CVE-2023-28205 ) parte de cadeias de exploração em andamento de vulnerabilidades zero-day e n-day do Android, iOS e Chrome, abusadas para implantar spyware comercial nos dispositivos de alvos de alto risco em todo o mundo.

Em fevereiro, a Apple abordou mais um zero-day do WebKit ( CVE-2023-23529 ) explorado em ataques para obter execução de código em iPhones, iPads e Macs vulneráveis.

Aprenda a criar dispositivos incríveis com o especialista Júlio Della Flora. Tenha acesso a aulas prática que te ensinarão o que há de mais moderno em gadgets de hacking e pentest. Se prepare para o mercado de pentest físico e de sistemas embarcados através da certificação SYH2. Saiba mais...