Apple vá 3 lỗ hổng bị khai thác trên iPhone và Mac

3 lỗ hổng bảo mật zero-day xuất hiện từ năm 2013 trên các thiết bị iPhone và Mac nay đã được Apple sữa lỗi thông qua các bản cập nhật bảo mật mới.

Vào thứ Năm tuần này, Apple đã phát hành bản cập nhật bảo mật mới cho các hệ điều hành của mình để vá hàng chục lỗ hổng có thể khiến các thiết bị iPhone và Mac tiếp xúc với các cuộc tấn công của hacker, bao gồm 3 lỗ hổng zero-day ảnh hưởng đến trình duyệt WebKit.

2 lỗ hổng đang bị khai thác tích cực, CVE-2023-28204 và CVE-2023-32373, đã được báo cáo cho Apple bởi một nhà nghiên cứu ẩn danh. Chúng có thể tiết lộ thông tin nhạy cảm và thực thi mã tùy ý nếu kẻ tấn công có thể lừa người dùng mục tiêu xử vào một trang web độc hại. Hiện không có thông tin về các cuộc tấn công khai thác những lỗ hổng zero-day này.

Apple đã tiết lộ trong các thông báo của mình rằng đây là các lỗ hổng mà hãng đã vá với các bản cập nhật bảo mật nhanh đầu tiên của mình, cụ thể là iOS 16.4.1(a), iPadOS 16.4.1(a), và macOS 13.3.1(a). Bây giờ, iOS 16.5 và iPadOS 16.5 vá các lỗ hổng CVE-2023-28204 và CVE-2023-32373, cũng như CVE-2023-32409, một lỗ hổng zero-day WebKit có thể bị khai thác để thoát khỏi sandbox Nội dung Web.

Apple vá 3 lỗ hổng bị khai thác trên iPhone và Mac từ năm 2013

CVE-2023-32409 đã được báo cáo cho Apple bởi Nhóm Phân tích Đe dọa của Google và Amnesty International, điều này cho thấy rằng nó có thể đã bị khai thác bởi các sản phẩm của một nhà cung cấp phần mềm gián điệp thương mại. Google gần đây cũng đã nêu chi tiết một số lỗ hổng iOS và Android mà công ty đã liên kết với các nhà cung cấp phần mềm gián điệp khác nhau.

Các bản cập nhật iOS và iPadOS mới nhất vá hơn 30 lỗ hổng khác, bao gồm những lỗ hổng có thể dẫn đến việc vượt qua bảo mật, thoát khỏi sandbox, thực thi mã tùy ý, tiết lộ vị trí và các dữ liệu người dùng khác, nâng quyền, chấm dứt ứng dụng, phục hồi ảnh đã xóa, duy trì quyền truy cập vào các tệp cấu hình hệ thống, tiết lộ thông tin liên hệ từ màn hình khóa, và sửa đổi các phần được bảo vệ của hệ thống tệp.

CVE-2023-28204 và CVE-2023-32373 cũng đã được sửa với việc phát hành iOS và iPadOS 15.7.6. Các lỗ hổng WebKit đã bị khai thác cũng đã được giải quyết trên Apple TV, Apple Watch và Safari.

Bản cập nhật macOS Ventura mới nhất vá 3 lỗ hổng zero-day, cùng với gần 50 lỗ hổng khác có thể dẫn đến việc tiết lộ thông tin nhạy cảm, thực thi mã tùy ý, các cuộc tấn công DoS, vượt qua tính năng bảo mật, và nâng quyền. Apple cũng đã cập nhật macOS Monterey lên phiên bản 12.6.6 và Big Sur lên phiên bản 11.7.7 để vá hơn 20 lỗ hổng, nhưng không có lỗ hổng zero-day nào.

Xem thêm