聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
苹果修复了用于攻击 iPhone、Mac 和 iPad 的三个新0day。
苹果公司在安全公告中指出,“苹果已注意到该漏洞可能遭活跃利用的报告。”这三个漏洞均位于多平台的 WebKit 浏览器引擎中,编号为CVE-2023-32409、CVE-2023-28204和CVE-2023-32373。
CVE-2023-32409是一个沙箱逃逸漏洞,可导致远程攻击者公婆 Web Content 沙箱。其它两个漏洞是界外读漏洞,一个有助于攻击者获得访问敏感信息的权限,一个是可导致在受陷设备上实现任意代码执行的释放后使用漏洞,这两个漏洞均要求目标加载恶意构造的网页(web 内容)。
苹果已在 macOS Ventura 13.4、iOS 和 iPadOS 16.5、tvOS 16.5、watchOS 9.5和 Safari 16.5 改进边界检查、输入验证和内存管理,修复了这三个漏洞。
由于影响新老机型,因此受影响设备数量庞大,包括:
iPhone 6s(所有机型)、iPhone 7(所有机型)、iPhone SE(第一代)、iPad Air 2、iPad mini(第4代)、iPod touch(第7代)以及iPhone 8 及后续版本。
iPad Pro(所有机型)、iPad Air 第3代及后续版本、iPad 第5代及后续版本以及 iPad mini 第5代及后续版本。
运行 macOS Big Sur、Monterey 和 Ventura 的 Mac 设备
Apple Watch 系列4及后续版本
Apple TV 4K(所有机型)及 Apple TV HD
苹果公司还表示,CVE-2023-28204和CVE-2023-32373(由匿名研究员报送)在5月1日通过为 iOS 16.41和 macOS 13.3.1 设备发布快速安全响应 (RSR) 补丁的方式修复。
苹果公司发言人并未回复5月份的RSR 更新所修复漏洞的更多详情。
2023年以来修复6个0day
虽然苹果公司表示已意识到这三个 0day 已遭利用,但并未分享任何相关信息。不过今天发布的安全公告显示,CVE-2023-32409由谷歌威胁分析团队研究员 Clément Lecigne 和 Amnesty International 公司安全实验室的研究员 Donncha Ó Cearbhaill 发现并报告。这两家公司定期披露关于国家黑客组织在政客、记者、异见人士等人群的智能手机和计算机上部署恶意软件。
4月份,苹果修复了两个0day漏洞CVE-2023-28206和CVE-2023-28205。这两个漏洞是由安卓、iOS 和 Chrome 0day 和 nday 漏洞组成的在野利用链的一部分,被用于在高危目标设备上安装商业间谍软件。2月份,苹果公司修复了 WebKit 0day 漏洞CVE-2023-23529,该漏洞被用于在易受攻击的 iPhone、iPad 和 Mac 设备上执行代码。
代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com
推荐阅读
苹果紧急修复两个已遭利用的 0day,影响 iPhone 和 Mac设备
原文链接
https://www.bleepingcomputer.com/news/apple/apple-fixes-three-new-zero-days-exploited-to-hack-iphones-macs/
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~