Apple je u srijedu objavio ažuriranja za iOS, iPadOS, macOS, watchOS i Safari pretraživač kako bi riješio niz nedostataka za koje je rekao da se aktivno iskorištavaju u praksi.
Ovo uključuje par Zero-Day nedostataka koji su bili naoružani u kampanji mobilnog nadzora pod nazivom Operacija Triangulacija koja je aktivna od 2019. godine. Tačan haker iza kampanje nije poznat.
- CVE-2023-32434 – Ranjivost prekoračenja cijelog broja u kernelu koju bi maliciozna aplikacija mogla iskoristiti za izvršavanje proizvoljnog koda s privilegijama kernela.
- CVE-2023-32435 – Ranjivost na oštećenje memorije u WebKit-u koja može dovesti do izvršenja proizvoljnog koda prilikom obrade posebno kreiranog web sadržaja.
Apple je rekao da je svjestan da su ova dva problema “možda aktivno iskorištavana protiv verzija iOS-a objavljenih prije iOS-a 15.7” zaslužujući Kaspersky istraživače Georgija Kučerina, Leonida Bezveršenka i Borisa Larina što su ih prijavili.
Upozorenje dolazi kada je ruski proizvođač secirao implantat špijunskog softvera koji se koristio u zero-click kampanji napada ciljajući iOS uređaje putem iMessages-a koji nosi prilog sa ugrađenim eksploatacijom za ranjivost udaljenog izvršavanja koda (RCE).
Exploit kod je takođe dizajniran za preuzimanje dodatnih komponenti kako bi se dobile root privilegije na ciljnom uređaju, nakon čega se backdoor postavlja u memoriju, a početni iMessage se briše kako bi se prikrio trag infekcije.
Sofistikovani implant, nazvan TriangleDB, radi isključivo u memoriji, ne ostavljajući tragove aktivnosti nakon ponovnog pokretanja uređaja. Takođe dolazi s različitim mogućnostima prikupljanja i praćenja podataka.
Ovo uključuje „interakciju sa sistemom datoteka uređaja (uključujući kreiranje datoteka, modifikaciju, eksfiltraciju i uklanjanje), upravljanje procesima (listing i prekid), izdvajanje stavki privjesaka za ključeve radi prikupljanja kredencijala žrtve i praćenje geolokacije žrtve, između ostalog.“
Apple je takođe zakrpio CVE-2023-32439, koji je prijavljen anonimno i mogao bi rezultovati proizvoljnim izvršavanjem koda prilikom obrade malicioznog web sadržaja.
Aktivno iskorištavana greška, opisana kao problem konfuzije tipa, riješena je poboljšanim provjerama. Ažuriranja su dostupna za sljedeće platforme:
- iOS 16.5.1 i iPadOS 16.5.1 – iPhone 8 i noviji, iPad Pro (svi modeli), iPad Air 3. generacije i noviji, iPad 5. generacije i noviji, i iPad mini 5. generacija i noviji
- iOS 15.7.7 i iPadOS 15.7.7 – iPhone 6s (svi modeli), iPhone 7 (svi modeli), iPhone SE (1. generacija), iPad Air 2, iPad mini (4. generacija) i iPod touch (7. generacija)
- macOS Ventura 13.4.1, macOS Monterey 12.6.7 i macOS Big Sur 11.7.8
- watchOS 9.5.2 – Apple Watch Series 4 i novije verzije
- watchOS 8.8.1 – Apple Watch serija 3, serija 4, serija 5, serija 6, serija 7 i SE
- Safari 16.5.1 – Macovi koji koriste macOS Monterey
Uz posljednju rundu popravaka, Apple je riješio ukupno devet Zero-Day nedostataka u svojim proizvodima od početka godine.
U februaru je kompanija ispravila WebKit propust (CVE-2023-23529) koji bi mogao dovesti do daljinskog izvršavanja koda. U aprilu je objavio ispravke za dvije greške (CVE-2023-28205 i CVE-2023-28206) koje su omogućile izvršavanje koda s povišenim privilegijama.
Nakon toga, u maju, isporučio je zakrpe za još tri ranjivosti u WebKit-u (CVE-2023-32409, CVE-2023-28204 i CVE-2023-32373) koje bi mogle dozvoliti hakeru da pobjegne iz zaštićenog okruženja i pristupi osjetljivim podacima i izvrši proizvoljan kod.
Izvor: The Hacker News