Apple поправи активно използвани уязвимости в iOS и iPadOS

Apple поправи активно използвани уязвимости в iOS и iPadOS

Грешки в ядрото на операционните системи, както и в браузъра позволяват дистанционно стартиране на произволен код

Александър Главчев
295 прочитания

Apple обяви, че отстранила две уязвимости в iOS и iPad OS, които вече се използват от киберпрестъпници. И двете се отнасят към класа уязвимостите от нулевия ден, т.е. компанията е разбрала за тях, след като започнало тяхното активно използване.

Уязвимостта CVE-2022-32893 е в компонента WebKit (браузър енджинът, използван от компанията) и позволява изпълнение на произволен код при обработка на специално създадено уеб съдържание. С други думи, жертвата е трябвало да бъде привлечена към специално създаден уебсайт.

Втората, CVE-2022-32894, е открита директно в ядрото на операционните системи на Apple и също дава възможност за стартиране на произволен код. За да се използва, е необходимо и жертвата да бъде подлъгана да го инсталира на устройството си. Вероятно идеята е била да се атакуват по този начин смартфони, които вече са "джейлбрейкнати" (т.е. модифицирани така, че на тях да може да се инсталира софтуер от други източници освен от AppleStore).

И в двата става дума за грешки, свързани с запис на информация извън разпределената област на паметта. Уязвимостите се отстраняват чрез актуализациите на iOS 15.6.1, iPadOS 15.6.1 и macOS.

Актуализациите за iOS са за iPhone 6s и по-нови модели, докато тези за iPadOS са за всички версии на iPad Pro, iPad Air 2 и по-нови, iPad от пето поколение и по-нови, iPad mini 4 и по-нови, както и 7-о поколение iPod touch и по-нови.

По данни на Apple адресираните уязвимости вече са активно експлоатирани. Оттам обаче не разкриват повече подробности. Според експерти по всяка вероятност става дума за тясно насочени атаки.

Apple обяви, че отстранила две уязвимости в iOS и iPad OS, които вече се използват от киберпрестъпници. И двете се отнасят към класа уязвимостите от нулевия ден, т.е. компанията е разбрала за тях, след като започнало тяхното активно използване.

Уязвимостта CVE-2022-32893 е в компонента WebKit (браузър енджинът, използван от компанията) и позволява изпълнение на произволен код при обработка на специално създадено уеб съдържание. С други думи, жертвата е трябвало да бъде привлечена към специално създаден уебсайт.

С използването на сайта вие приемате, че използваме „бисквитки" за подобряване на преживяването, персонализиране на съдържанието и рекламите, и анализиране на трафика. Вижте нашата политика за бисквитките и декларацията за поверителност. ОК