A Apple lançou atualizações de segurança de emergência para resolver dois zero-day vulnerabilidades que foram exploradas ativamente, elevando o total para 20 zero-days corrigidos no ano em curso. Essas vulnerabilidades afetaram uma ampla variedade de dispositivos Apple, incluindo iPhones, iPads, e Macs, exigindo ação rápida para proteger os usuários.
CVE-2023-42916 e CVE-2023-42917
As vulnerabilidades identificadas, CVE-2023-42916 e CVE-2023-42917, estavam situados no mecanismo do navegador WebKit, permitindo que invasores comprometam informações confidenciais por meio de uma fraqueza de leitura fora dos limites e obtenham execução arbitrária de código por meio de um bug de corrupção de memória. A Apple respondeu prontamente, reconhecendo a exploração potencial contra versões do iOS anteriores ao iOS 16.7.1.
A lista abrangente de dispositivos Apple afetados inclui modelos de iPhone XS e posteriores, Gerações do iPad Pro, iPad Air, iPad, iPad mini, e vários Macs executando macOS Monterey, Ventura, e Sonoma.
Grupo de análise de ameaças do Google (TAG) desempenhou um papel fundamental na descoberta dessas vulnerabilidades, com o pesquisador de segurança Clément Lecigne liderando a tarefa de relatar ambos os dias zero. Embora a Apple não tenha fornecido detalhes sobre explorações em andamento, Os pesquisadores do Google TAG frequentemente expõem dias zero vinculados a campanhas de spyware patrocinadas pelo Estado visando indivíduos importantes, como jornalistas, políticos, e dissidentes.
Notavelmente, CVE-2023-42916 e CVE-2023-42917 representam as 19ª e 20ª vulnerabilidades de dia zero abordadas pela Apple em 2023. Divulgação do Google TAG de outro dia zero (CVE-2023-42824) visando o kernel XNU revelou uma exploração capaz de aumentar privilégios em iPhones e iPads.
A dedicação da Apple à segurança cibernética foi ainda mais enfatizada pela recente correção de três vulnerabilidades de dia zero (CVE-2023-41991, CVE-2023-41992, e CVE-2023-41993) relatado pelo Citizen Lab e Google TAG. Essas vulnerabilidades, uma vez explorado, facilitou a implantação do notório spyware Predator por agentes de ameaças.
Revelações do Citizen Lab sobre dois dias zero adicionais (CVE-2023-41061 e CVE-2023-41064) em setembro adicionou complexidade ao desenrolar da narrativa. Explorado como parte da cadeia de exploração de clique zero BLASTPASS, essas vulnerabilidades foram fundamentais na instalação do spyware Pegasus do Grupo NSO.
O cronograma das respostas proativas da Apple remonta a fevereiro, onde um WebKit de dia zero (CVE-2023-23529) foi rapidamente abordado. Os meses subsequentes testemunharam uma série de intervenções, cobrindo dias zero em julho (CVE-2023-37450 e CVE-2023-38606), Junho (CVE-2023-32434, CVE-2023-32435, e CVE-2023-32439), Maio (CVE-2023-32409, CVE-2023-28204, e CVE-2023-32373), e abril (CVE-2023-28206 e CVE-2023-28205).
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: