安全研究員披露三個 iOS 0day 漏洞

iOS 0day漏洞影響老版本iPhone和iPad，蘋果已發布安全補丁。漏洞產生的原因是蘋果WebKit web瀏覽器瀏覽引擎的類型混淆引發的。實現遠程代碼執行后，攻擊者可以在底層操作系統執行命令，部署惡意軟件或監控惡意軟件，并執行其他惡意活動。1月23日，蘋果再次發布公告稱發現該漏洞被利用的跡象。蘋果公司建議受影響的用戶盡快安裝1月23日蘋果發布的安全更新以攔截可能的攻擊。

一、發展動向熱訊

一、發展動向熱訊

2021年10月12日凌晨1點，距離上個版本發布僅10天，蘋果就向全球用戶推送了 iOS15.0.2系統，同時發布的還有 iPadOS15.0.2。本次更新除了修復信息與照片、應用等一系列問題外，緊急修復了一個正在被黑客廣泛利用的0day漏洞，漏洞編號CVE-2021-30883。

根據研究人員的說法，產生漏洞的原因在于這些頁面沒有對存儲XSS進行防護。因此，攻擊者可以利用丟失模式的電話號碼字段向AirTag注入惡意的有效載荷。研究人員在一篇文章中稱，受害者會認為他們被要求登錄iCloud，以便與AirTag的所有者進行聯系，而事實上，攻擊者已將他們重定向到了一個憑證劫持頁面。他還指出，AirTags可以被武器化，進行各種攻擊。

接收到漏洞反饋后，蘋果公司通過改進邊界檢查、輸入驗證和內存管理，解決了漏洞問題。據悉，macOS Ventura 13.4、iOS 和 iPadOS 16.5、tvOS 16.5、watchOS 9.5 和 Safari 16.5 等都會受到漏洞影響。蘋果表示公司內部已經知道了三個零日漏洞正在野外被積極利用，5 月 1 日發布的 iOS 16.4.1 和 macOS 13.3.1設備的快速安全響應補丁解決 CVE-2023-28204 和 CVE-2023-32373 這兩個漏洞問題。Cearbhaill 發現并報告了CVE-2023-32409。2023年蘋果修復多個零日進入 2023 年以來，蘋果多次爆出安全漏洞。

接收到漏洞反饋后，蘋果公司通過改進邊界檢查、輸入驗證和內存管理，解決了漏洞問題。據悉，macOS Ventura 13.4、iOS 和 iPadOS 16.5、tvOS 16.5、watchOS 9.5 和 Safari 16.5 等都會受到漏洞影響。

Apple 發布了安全更新，以解決兩個在野外被積極利用并針對 iPad、Mac 和 iPhone 的零日漏洞。這些漏洞被跟蹤為CVE-2023-28205和CVE-2023-28206。Cearbhaill 發現的相同安全問題。雖然蘋果公司表示它“知道有關此問題可能已被積極利用的報告”，但它并未將此類漏洞利用歸因于任何特定的網絡犯罪或民族國家組織。

蘋果公司敦促macOS、iPhone和iPad用戶在本周盡快安裝設備的更新文件，這其中包括對兩個處于主動攻擊下的0 day漏洞的修復。據蘋果公司稱，這是一個越界寫入漏洞，該問題可以通過改進邊界的檢查方案來進行解決。蘋果公司使用一貫的模糊的公告對外宣稱，該漏洞可能已被黑客積極利用了。據蘋果公司稱，該漏洞允許瀏覽器處理惡意制作的網頁內容，這可能會導致代碼執行漏洞，而且據報道，該漏洞也在被積極利用中。