La fretta di Apple di rilasciare patch per due giorni zero minaccia gli utenti iOS e macOS

Giovedì Apple ha rilasciato correzioni per due vulnerabilità critiche zero-day nei dispositivi iPhone, iPad e Mac, che offrono agli hacker un accesso pericoloso alle parti interne dei sistemi operativi su cui girano i dispositivi.

Apple ha attribuito a un ricercatore anonimo la scoperta di entrambe le vulnerabilità. La prima vulnerabilità, CVE-2022-22675, è in macOS per Monterey e in iOS o iPadOS per la maggior parte dei modelli di iPhone e iPad. Il difetto, che deriva da un problema di scrittura fuori limite, offre agli hacker la possibilità di eseguire codice dannoso che viene eseguito con i privilegi del kernel, l’area più sensibile alla sicurezza del sistema operativo. Allo stesso tempo, CVE-2022-22674 provoca anche un problema di lettura fuori limite che può portare al rilevamento della memoria del kernel.

Apple ha rivelato dettagli accurati dei difetti qui E il qui. La società ha scritto su entrambe le vulnerabilità: “Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato attivamente sfruttato”.

mela che piove zero giorni

CVE-2022-22674 e CVE-2022-22675 sono il quarto e il quinto zero-day che Apple corregge quest’anno. A gennaio, l’azienda ha rilasciato rapidamente patch per iOS, iPadOS, macOS Monterey, watchOS, tvOS e HomePod. Risolto il bug di danneggiamento della memoria zero-day Può dare agli sfruttatori la possibilità di eseguire codice con i privilegi del kernel. Il bug, che viene tracciato come CVE-2022-22587, è in IOMobileFrameBuffer. Una vulnerabilità separata, CVE-2022-22594, ha consentito ai siti Web di tenere traccia delle informazioni riservate degli utenti. Il codice exploit per questa vulnerabilità è stato rilasciato pubblicamente prima del rilascio della patch.

Apple a febbraio ha spinto una soluzione per Utilizzare dopo senza bug Nel motore del browser Webkit che offriva agli aggressori la possibilità di eseguire codice dannoso su iPhone, iPad e iTouch. Apple ha affermato che i rapporti ricevuti indicano che la vulnerabilità – CVE-2022-22620 – potrebbe essere stata attivamente sfruttata.

un Tavolo I ricercatori di sicurezza di Google tengono traccia di zero giorni dimostrando che Apple ha risolto un totale di 12 di queste vulnerabilità nel 2021. Tra queste c’era un difetto in iMessage con cui il framework spyware Pegasus stava prendendo di mira Sfrutta zero clic, il che significa che i dispositivi sono stati infettati non appena hanno ricevuto un messaggio dannoso, senza richiedere alcuna azione da parte dell’utente. Zero Day quella mela Corretto a maggio Ha consentito agli aggressori di infettare dispositivi completamente aggiornati.