A Apple corrigiu três novas vulnerabilidades zero-day exploradas em ataques para invadir iPhones, Macs e iPads.
"A Apple está ciente de um relatório de que esse problema pode ter sido explorado ativamente", revelou a empresa em avisos de segurança descrevendo as falhas.
Os bugs de segurança foram todos encontrados no mecanismo de navegação multiplataforma WebKit e são rastreados como
CVE-2023-32409
,
CVE-2023-28204
e
CVE-2023-32373
.
A primeira vulnerabilidade é uma fuga de sandbox que permite que atacantes remotos saiam dos sandboxes de conteúdo da web.
As outras duas são uma leitura fora dos limites que pode ajudar os atacantes a acessar informações sensíveis e um problema de uso após liberação que permite a execução de código arbitrário em dispositivos comprometidos, ambos após enganar os alvos para carregar páginas da web maliciosamente criadas.
A Apple corrigiu os três zero-days no macOS Ventura 13.4, iOS e iPadOS 16.5, tvOS 16.5, watchOS 9.5 e Safari 16.5 com verificações de limites, validação de entrada e gerenciamento de memória aprimorados.
A lista de dispositivos impactados é bastante extensa, pois o bug afeta modelos mais antigos e mais novos, e inclui: A empresa também revelou que
CVE-2023-28204
e
CVE-2023-32373
(relatados por pesquisadores anônimos) foram abordados pela atualização de patches Rapid Security Response (RSR) para dispositivos iOS 16.4.1 e macOS 13.3.1 emitidos em 1º de maio.
Um porta-voz da Apple não respondeu a um pedido de mais detalhes quando contatado pelo BleepingComputer na época sobre quais falhas foram corrigidas com as atualizações do RSR de maio.
Embora a Apple diga que está ciente de que os três zero-days corrigidos hoje estão em exploração, ela não compartilhou nenhuma informação sobre esses ataques.
No entanto, os avisos de hoje revelam que
CVE-2023-32409
foi relatado por Clément Lecigne do Google Threat Analysis Group e Donncha Ó Cearbhaill do Security Lab da Amnesty International.
As organizações das quais os dois pesquisadores fazem parte divulgam regularmente detalhes sobre campanhas apoiadas pelo estado que exploram bugs zero-day para implantar spyware mercenário nos smartphones e computadores de políticos, jornalistas, dissidentes e outros.
Em abril, a Apple corrigiu outros dois zero-days (
CVE-2023-28206
e
CVE-2023-28205
) parte de cadeias de exploração em andamento de vulnerabilidades zero-day e n-day do Android, iOS e Chrome, abusadas para implantar spyware comercial nos dispositivos de alvos de alto risco em todo o mundo.
Em fevereiro, a Apple abordou mais um zero-day do WebKit (
CVE-2023-23529
) explorado em ataques para obter execução de código em iPhones, iPads e Macs vulneráveis.
Publicidade
Em nenhum outro momento você conseguirá pagar tão pouco em um treinamento e certificação Solyd. A Solyd não te oferece um simples curso online. Mas sim uma experiência completa de aulas com três profissionais que vivem e trabalham como um hacker 24 horas por dia, que se dedicam durante todo ano a tirar seus sonhos de criança do papel. Ter algo desse nível era impossível há apenas 10 anos atrás, e hoje conseguimos entregar o melhor programa de educação em hacking do mundo. O melhor dia para começar sempre foi HOJE. Saiba mais...