苹果紧急修复两个 iOS 0day漏洞

苹果紧急修复两个 iOS 0day漏洞
2023-12-1 14:55:43 Author: mp.weixin.qq.com(查看原文) 阅读量:8 收藏

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

苹果发布紧急更新，修复了已遭攻击的两个 0day 漏洞，影响 iPhone、iPad 和 Mac 设备，也使今年修复的0day 漏洞数量达到20个。

苹果发布安全公告称，“苹果发现有报告称该漏洞可能被用于攻击 iOS 16.7.1 之前的 iOS 版本。”这两个漏洞位于 WebKit 浏览器引擎（CVE-2023-42916和CVE-2023-42917）中，可导致攻击者通过一个界外读漏洞读取敏感信息并通过恶意构造网页的易受攻击设备上的内存损坏漏洞执行任意代码。

苹果表示已经通过改进输入验证和锁定的方法，修复运行 iOS 17.1.12、iPadOS 17.1.2、macOS Sonoma 14.1.2 和 Safari 17.1.2 的设备漏洞。已受影响苹果设备非常多，包括：

iPhone XS 及后续版本
iPad Pro 12.9 英寸第2代及后续版本、iPad Pro 10.5 英寸、iPad Pro 11英寸第1代及后续版本、iPad Air 第3代及后续版本、iPad 第6代及后续版本，以及iPad mini 第5代及后续版本。
运行 macOS Monterey、Ventura、Sonoma 的 Mac 设备

这两个漏洞是由谷歌威胁分析团队 (TAG) 的研究员 Clément Lecigne 发现并报送的。

2023年已有20个0day 遭利用

这是苹果今年以来修复的第19个和第20个0day 漏洞。

谷歌 TAG 团队此前还发现了位于 XNU 内核中的另外一个 0day (CVE-2023-42824) 漏洞，可导致攻击者在易受攻击的 iPhone 和 iPad 上提升权限。

苹果最近修复了由公民实验室和谷歌 TAG 研究员发现并由威胁行动者部署 Predator 间谍软件利用的三个 0day 漏洞（CVE-2023-41991、CVE-2023-41992和CVE-2023-41993）。

公民实验室还在今年9月份披露了另外两个0day 漏洞CVE-2023-41061和CVE-2023-41064，这两个漏洞被用于一个零点击利用链中，安装 NSO Group的Pegasus 间谍软件。

自今年年初，苹果公司已修复：

7月份，修复2个0day（CVE-2023-37450和CVE-2023-38606）
6月份修复3个0day（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）
5月份修复3个 0day（CVE-2023-32409、CVE-2023-28204和CVE-2023-32373）
4月份修复2个0day（CVE-2023-28206和CVE-2023-28205）
以及2月份修复1个 WebKit 0day（CVE-2023-23529）

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

苹果再次紧急修复两个0day漏洞

苹果紧急修复已遭利用的3个0day漏洞

苹果紧急修复两个已遭利用的 0day

新Windows?! 苹果再修复已遭利用的新0day

苹果员工在CTF大赛发现谷歌0day秘而不报 $10000赏金由他人获得

原文链接

https://www.bleepingcomputer.com/news/apple/apple-fixes-two-new-ios-zero-days-in-emergency-updates/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247518251&idx=1&sn=b501407684b48f59fb89d2d77570a27c&chksm=ea94b941dde3305715701eacd7c1a39f8de6430adaf0c7c820423a0694a1ffdbf0ff60504574&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh