Exploit iMessage zero-click di Apple utilizzato per infettare gli iPhone con spyware

Citizen Lab afferma che due zero-day fissati oggi da Apple negli aggiornamenti di sicurezza di emergenza sono stati attivamente abusati come parte di una catena di exploit zero-click per distribuire lo spyware commerciale Pegasus di NSO Group su iPhone completamente patchati.

I due bug, identificati come CVE-2023-41064 e CVE-2023-41061, hanno consentito agli aggressori di infettare un iPhone con tutte le patch dotate di iOS 16.6 e appartenente a un'organizzazione della società civile con sede a Washington DC tramite allegati PassKit contenenti immagini dannose.

"Ci riferiamo alla catena di exploit come BLASTPASS. La catena di exploit è stata in grado di compromettere gli iPhone con l'ultima versione di iOS (16.6) senza alcuna interazione da parte della vittima", ha affermato Citizen Lab.

"L'exploit coinvolgeva allegati PassKit contenenti immagini dannose inviate da un account iMessage dell'aggressore alla vittima."

Citizen Lab ha inoltre esortato i clienti Apple ad aggiornare immediatamente i propri dispositivi e ha incoraggiato coloro che sono a rischio di attacchi mirati a causa della loro identità o professione ad attivare la modalità Lockdown.

I ricercatori di sicurezza di Apple e Citizen Lab hanno scoperto i due zero-day nei framework Image I/O e Wallet.​

Sfruttamento BLASTPASS

CVE-2023-41064 è un buffer overflow attivato durante l'elaborazione di immagini dannose, mentre CVE-2023-41061 è un problema di convalida che può essere sfruttato tramite allegati dannosi.

Apple ha risolto i difetti di macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 e watchOS 9.6.2 migliorando la logica e la gestione della memoria.

L'elenco dei dispositivi interessati include:

*iPhone 8 e successivi

*iPad Pro (tutti i modelli), iPad Air di terza generazione e successivi, iPad di quinta generazione e successivi e iPad mini di quinta generazione e successivi

*Mac con macOS Ventura

*Apple Watch Serie 4 e versioni successive

Dall’inizio dell’anno, Apple ha risolto un totale di 13 zero-day sfruttati per colpire dispositivi con iOS, macOS, iPadOS e watchOS, tra cui:

    due giorni zero (CVE-2023-37450 e CVE-2023-38606) a luglio

    tre giorni zero (CVE-2023-32434, CVE-2023-32435 e CVE-2023-32439) a giugno

    altri tre zero-day (CVE-2023-32409, CVE-2023-28204 e CVE-2023-32373) a maggio

    due giorni zero (CVE-2023-28206 e CVE-2023-28205) ad aprile

    e un altro WebKit zero-day (CVE-2023-23529) a febbraio