Apple, iPhone ve Mac kullanıcılarını hedefleyen saldırılarda kullanılan iki yeni sıfır günlük güvenlik açıkını düzeltmek için acil durum güvenlik güncellemeleri yayınladı ve yılın başından beri toplam 13 sömürülen sıfır günü yamalı.
"Apple, bu sorunun aktif olarak sömürülmüş olabileceğine dair bir raporun farkındadır."
Hatalar görüntü I/O ve cüzdan çerçevelerinde bulundu ve CVE-2023-41064 (Citizen Lab Security Araştırmacılar tarafından keşfedildi) ve CVE-2023-41061 (Apple tarafından keşfedildi) olarak izlendi.
Citizen Lab ayrıca bugün CVE-2023-41064 ve CVE-2023-41061 böceklerinin, NSO Group'un Pegasus Mercary Spyware adlı bir sıfır-tıkaç iMessage istismar zincirinin bir parçası olarak aktif olarak istismar edildiğini açıkladı. Kötü niyetli görüntüler içeren Passkit ekleri aracılığıyla yamalı iPhone'lar (iOS (16.6) çalıştırır.
CVE-2023-41064, kötü niyetli görüntüler işlenirken tetiklenen bir tampon taşma zayıflığıdır ve bunların açılmamış cihazlarda keyfi kod yürütülmesine yol açabilir.
CVE-2023-41061, hedeflenen cihazlarda keyfi kod yürütme elde etmek için kötü niyetli bir ek kullanılarak kullanılabilen bir doğrulama sorunudur.
Apple, MacOS Ventura 13.5.2, iOS 16.6.1, iPados 16.6.1 ve Watchos 9.6.2'de iyileştirilmiş mantık ve bellek kullanımı ile sıfır günleri düzeltti.
Etkilenen cihazların listesi oldukça kapsamlıdır, iki güvenlik hatasının hem eski hem de yeni modelleri etkilediğini görür ve şunları içerir:
Yılın başlangıcından bu yana, Apple, iOS, macOS, iPados ve Watchos'u çalıştıran cihazlara yönelik saldırılarda 13 sıfır günlük böcek yamaladı.
İki ay önce, Temmuz ayında Apple, tamamen yamalı iPhone'ları, Mac'leri ve iPad'leri etkileyen bir güvenlik açığını (CVE-2023-37450) ele almak için bant dışı hızlı güvenlik yanıtı (RSR) güncellemelerini zorladı.
Daha sonra RSR güncellemelerinin yamalı cihazlarda web taramasını kısmen kırdığını ve iki gün sonra Buggy yamalarının yeni ve sabit sürümlerini yayınladığını doğruladı.
Bugünden önce Apple da ele aldı:
GÜNCELLEME 07 Eylül, 15:42 EDT: Citizen laboratuvarının sıfır tıkaç IMESSAGE istismar zincirinin açıklanması hakkında bilgi eklendi.
Apple, saldırılarda sömürülen sıfır günleri düzeltmek için acil durum güncellemesini yayınladı
Apple, iPhone'lara karşı saldırılarda kullanılan yeni sıfır günleri düzeltir
Apple, 'Güvenlik Araştırması' iPhone'ları almak için 2024 uygulamayı açar
Notepad ++ 8.5.7 Dört güvenlik açığı için düzeltmelerle yayınlandı
Flipper Zero, iOS Bluetooth spam saldırılarını başlatmak için kullanılabilir
Kaynak: Bleeping Computer