Apple, Cuma günü yayınlanan Backport Güvenlik yamalarına acil durum güncellemeleri yayınladı ve eski iPhone'ları, iPad'leri ve Mac'leri etkileyen iki aktif olarak sömürülen sıfır günlük kusurlara hitap etti.
Pazartesi günü yayınlanan güvenlik danışmanlarında, "Apple, bu sorunun aktif olarak kullanılmış olabileceğine dair bir raporun farkında." Dedi.
Birincisi (CVE-2023-28206 olarak izlenen), tehdit aktörlerinin kötü niyetli olarak hazırlanmış uygulamalar aracılığıyla hedeflenen cihazlarda çekirdek ayrıcalıkları ile keyfi kod yürütmesini sağlayan sınır dışı bir yazı zayıflığıdır.
İkinci sıfır gün (CVE-2023-28205), tehdit aktörlerinin hedeflerini kötü niyetli web sayfaları yüklemeye kandırdıktan sonra tehlikeye atılmış iPhone'lar, Mac'ler veya iPad'lerde kötü amaçlı kod yürütmesine izin verebilen bir webkit kullanımıdır.
Bugün Apple, iOS 15.7.5 ve iPados 15.7.5, MacOS Monterey 12.6.5 ve MacOS Big Sur 11.7.6'daki giriş doğrulaması ve bellek yönetiminde sıfır günlere hitap etti.
Şirket, hataların artık aşağıdaki cihaz listesinde yamalı olduğunu söylüyor:
Kusurlar, Google'ın Tehdit Analiz Grubu ve Uluslararası Af Örgütü Güvenlik Laboratuvarı ile güvenlik araştırmacıları tarafından bildirildi ve bu da istismar zincirinin bir parçası olarak saldırılarda sömürüldüğünü keşfetti.
Her iki kuruluş da genellikle gazeteciler, politikacılar ve muhalifler gibi dünya çapında yüksek riskli bireylerin cihazlarına casus yazılım kurmak için benzer taktikler ve güvenlik açıkları kullanan devlet destekli tehdit aktörlerini bildiriyor.
Örneğin, yakın zamanda ticari gözetim kötü amaçlı yazılımlarını kurmak için Android, iOS ve Chrome hatalarını hedefleyen iki istismar zincirini kötüye kullanan kampanyalar hakkında ayrıntıları paylaştılar.
CISA ayrıca federal ajanslara, iPhone'ları, Mac'leri ve iPad'leri hacklemek için vahşi doğada aktif olarak sömürüldüğü bilinen bu iki güvenlik açıkluluğuna karşı cihazlarını yamalarını emretti.
Şubat ayının ortalarında Apple, kazaları tetiklemek ve savunmasız iOS, iPados ve MacOS cihazlarında kod yürütme saldırılarında olan başka bir Webkit Zero Day (CVE-2023-23529) yamaladı.
Apple, iPhone'ları, Mac'leri hacklemek için yeni Webkit Zero-Day'i düzeltiyor
Apple düzeltmeleri yakın zamanda eski iPhone'larda Webkit Zero Day'i açıkladı
Apple, iPhone'ları ve Mac'leri hacklemek için sömürülen iki sıfır günü düzeltiyor
CISA, Govt Ajanslarına 1 Mayıs'a kadar iPhone'ları, Mac'leri güncellemeyi sipariş ediyor
Cisa, sıfır gün olarak sömürülen pencereler ve iOS hataları konusunda uyarıyor
Kaynak: Bleeping Computer