Apple hôm thứ Năm đã phát hành các bản cập nhật bảo mật khẩn cấp cho iOS, iPadOS, macOS và watchOS để giải quyết hai lỗ hổng zero-day đã bị khai thác để phát tán phần mềm gián điệp đánh thuê Pegasus của NSO Group.
Các vấn đề được mô tả như dưới đây -
- CVE-2023-41061 - Sự cố xác thực trong Wallet có thể dẫn đến việc thực thi mã tùy ý khi xử lý tệp đính kèm được tạo độc hại.
- CVE-2023-41064 - Sự cố tràn bộ đệm trong thành phần I/O hình ảnh có thể dẫn đến việc thực thi mã tùy ý khi xử lý hình ảnh được tạo độc hại.
Trong khi CVE-2023-41064 được Phòng thí nghiệm Công dân tại Trường Munk của Đại học Toronto tìm thấy thì CVE-2023-41061 được Apple phát hiện nội bộ với sự “hỗ trợ” từ Phòng thí nghiệm Công dân.
Các bản cập nhật có sẵn cho các thiết bị và hệ điều hành sau -
- iOS 16.6.1 và iPadOS 16.6.1 - iPhone 8 trở lên, iPad Pro (tất cả các kiểu máy), iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 5 trở lên và iPad mini thế hệ thứ 5 trở lên
- macOS Ventura 13.5.2 - thiết bị macOS chạy macOS Ventura
- watchOS 9.6.2 - Apple Watch Series 4 trở lên
Trong một cảnh báo riêng, Citizen Lab tiết lộ rằng lỗ hổng kép đã được vũ khí hóa như một phần của chuỗi khai thác iMessage không cần nhấp chuột có tên BLASTPASS để triển khai Pegasus trên iPhone được vá đầy đủ chạy iOS 16.6.
Phòng thí nghiệm liên ngành cho biết : “Chuỗi khai thác có khả năng xâm nhập vào iPhone chạy phiên bản iOS mới nhất (16.6) mà không có bất kỳ tương tác nào từ nạn nhân” . “Việc khai thác liên quan đến các tệp đính kèm PassKit chứa hình ảnh độc hại được gửi từ tài khoản iMessage của kẻ tấn công tới nạn nhân.”
Các chi tiết kỹ thuật bổ sung về những thiếu sót đã được giữ lại do bị khai thác tích cực. Điều đó nói lên rằng, cách khai thác được cho là sẽ vượt qua khung hộp cát BlastDoor do Apple thiết lập để giảm thiểu các cuộc tấn công không cần nhấp chuột.
Citizen Lab cho biết: “Phát hiện mới nhất này một lần nữa cho thấy xã hội dân sự là mục tiêu của các hoạt động khai thác rất tinh vi và phần mềm gián điệp đánh thuê”. với các văn phòng quốc tế.
Cupertino cho đến nay đã sửa tổng cộng 13 lỗi zero-day trong phần mềm của mình kể từ đầu năm. Các bản cập nhật mới nhất cũng đến hơn một tháng sau khi công ty đưa ra các bản sửa lỗi cho lỗ hổng kernel bị khai thác tích cực ( CVE-2023-38606 ).
Tin tức về zero-day xuất hiện khi chính phủ Trung Quốc được cho là đã ra lệnh cấm các quan chức chính quyền trung ương và tiểu bang sử dụng iPhone và các thiết bị mang nhãn hiệu nước ngoài khác để làm việc nhằm giảm sự phụ thuộc vào công nghệ nước ngoài và trong bối cảnh căng thẳng Trung Quốc leo thang. Chiến tranh thương mại Mỹ.
Zuk Avraham, nhà nghiên cứu bảo mật và người sáng lập Zimperium, cho biết trong một bài đăng trên X (trước đây là Twitter): “Lý do thực sự [cho lệnh cấm] là: an ninh mạng (ngạc nhiên bất ngờ). "iPhone có vẻ như là chiếc điện thoại an toàn nhất... nhưng trên thực tế, iPhone không an toàn chút nào trước hoạt động gián điệp đơn giản."
"Bạn không tin tôi à? Chỉ cần nhìn vào số lượng các công ty thương mại không cần nhấp chuột như NSO trong nhiều năm qua để hiểu rằng hầu như không một cá nhân, một tổ chức hoặc chính phủ nào có thể làm gì để tự bảo vệ mình trước hoạt động gián điệp mạng thông qua iPhone ."