Gần đây, Apple đã phát hành các bản cập nhật bảo mật khẩn cấp để vá ba lỗ hổng zero-day mới, đang bị khai thác trong các cuộc tấn công nhắm vào người dùng iPhone và Mac, nâng tổng số lỗ hổng zero-day đã được vá trong năm nay lên số 16.
Hai lỗ hổng đã được tìm thấy trong WebKit browser engine (CVE-2023-41993) và Security framework (CVE-2023-41991), cho phép kẻ tấn công bypass xác thực chữ ký bằng ứng dụng độc hại hoặc thực thi mã tùy ý thông qua các trang web độc hại.
Lỗ hổng thứ ba được tìm thấy trong Kernel Framework. Những kẻ tấn công cục bộ có thể khai thác lỗ hổng này (CVE-2023-41992) để leo thang đặc quyền.
Apple đã vá ba lỗ hổng zero-day trong các phiên bản macOS 12.7/13.6, iOS 16.7/17.0.1, iPadOS 16.7/17.0.1 và watchOS 9.6.3/10.0.1.
Apple tiết lộ rằng các lỗ hổng có thể đã bị khai thác trên các phiên bản iOS trước iOS 16.7 theo báo cáo mà họ nhận được.
Danh sách các thiết bị bị ảnh hưởng bao gồm:
- iPhone 8 trở lên
- iPad mini thế hệ thứ 5 trở lên
- Máy Mac chạy macOS Monterey và mới hơn
- Apple Watch Series 4 trở lên
Cả ba lỗ hổng zero-day đều được tìm thấy và báo cáo bởi Bill Marczak thuộc The Citizen Lab at The University of Toronto’s Munk School và Maddie Stone thuộc Google’s Threat Analysis Group.
Trong khi Apple vẫn chưa cung cấp thêm thông tin chi tiết về việc khai thác lỗ hổng, các nhà nghiên cứu bảo mật của Citizen Lab và Google Threat Analysis Group lại thường tiết lộ các lỗ hổng zero-day bị lạm dụng trong các cuộc tấn công phần mềm gián điệp có chủ đích nhắm vào các cá nhân có nguy cơ cao, bao gồm các nhà báo, chính trị gia đối lập, và những người bất đồng chính kiến.
Citizen Lab tiết lộ hai lỗ hổng zero-day khác (CVE-2023-41061 và CVE-2023-41064) cũng đã được Apple sửa trong các bản cập nhật an ninh khẩn cấp hồi đầu tháng này và bị lạm dụng như một phần của chuỗi khai thác zero-click (được đặt tên là BLASTPASS) trong phần mềm gián điệp thương mại Pegasus của NSO Group để lây nhiễm iPhone được vá đầy đủ.
