Apple har släppt en serie säkerhetsuppdateringar på måndagen för att åtgärda flera sårbarheter i sina produkter, inklusive en zero-day sårbarhet som ”kunde utnyttjas” i operativsystemen för iPhones, iPads och Macintosh-datorer.
Den specifika zero-day sårbarheten, identifierad som CVE-2024-23222, finns i WebKit och kan leda till godtycklig kodexekvering genom att bearbeta skadlig webbinnehåll. Apple beskrev det som ett ”förvirringsrelaterat problem som har lösts med förbättrade kontroller” i iOS 17.3 och iPadOS 17.3 (iPhone XS och senare modeller, iPad Pro 12.9-tums 2:a generation och senare, iPad Pro 10.5-tums, iPad Pro 11-tums 1:a generation och senare, iPad Air 3:e generation och senare , iPad 6:e generation och senare, och iPad mini 5:e generation och senare), iOS 16.7.5 och iPadOS 16.7.5 (iPhone 8, iPhone 8 Plus, iPhone X, iPad 5:e generation, iPad Pro 9.7-tums och iPad Pro 12.9-tums 1:a generation), macOS Sonoma 14.3, macOS Ventura 13.6.4, macOS Monterey 12.7.3, tvOS 17.3 och Safari 17.3.
Som alltid avslöjade inte Apple för mycket information om sårbarheterna, förutom det som delades i ”Threat Intelligence Reports” för att skydda sina kunder. Apple implementerade en ny säkerhetsuppdateringsprocess som kallas Rapid Security Response i augusti för att ge betydande säkerhetsförbättringar mellan programuppdateringar, vilket också kan användas för snabbare åtgärdande av vissa säkerhetsproblem, inklusive de som kan utnyttjas i vilt tillstånd.
Cybersecurity and Infrastructure Security Agency utfärdade en varning den 23 januari om Apples säkerhetsuppdateringar, som är de första för 2024. Förra året åtgärdade Apple 20 ”zero-day” eller ”zero-click” sårbarheter.
Förutom CVE-2024-23222, tillät en annan WebKit-bugg – CVE-2024-23206 – en skadlig webbplats att ”utge sig för att vara en användare”, medan en tredje WebKit-bugg – CVE-2024-23214 – också kunde leda till godtycklig kodexekvering genom att besöka en skadligt utformad webbsida.
Enligt forskning från Menlo Security ökade webbläsarbaserade phishingattacker med 198% år 2023. Denna siffra steg till 206% för attacker som klassificerades som undvikande genom att använda olika tekniker för att bypassa traditionella säkerhetskontroller.
Med tanke på den begränsade tillgången på information om de första zero-days i webbläsare år 2024 – CVE-2024-23222 och CVE-2024-0519 – konstaterade Lionel Litty, Chief Security Architect på Menlo, att det är svårt att säga om samma sårbarheter utnyttjades, eftersom CVE för Chrome var relaterad till JavaScript-motorn (v8), medan Safari använder en annan JavaScript-motor. Det är dock inte ovanligt att olika implementeringar har mycket liknande brister, fortsatte Litty. ”När angripare hittar en svag punkt i en webbläsare är de också kända för att testa andra webbläsare inom samma område,” sa Litty. ”Så medan det är osannolikt att det är exakt samma sårbarhet, skulle det inte vara överraskande att hitta något gemensamt DNA mellan de två utnyttjandena som används i det vilda.”
Vanliga frågor (FAQ) – Nyckelämnen och information:
The source of the article is from the blog myshopsguide.com