Gli aggiornamenti di sicurezza di Apple risolvono 2 zero-day utilizzati per hackerare iPhone e Mac
Pubblicato da Angelo Domeneghini in Vulnerabilità zero-day · 19 Agosto 2022
Tags: #apple, #iphone, #mac, #zeroday
Tags: #apple, #iphone, #mac, #zeroday
Gli aggiornamenti di sicurezza di Apple risolvono 2 zero-day utilizzati per hackerare iPhone e Mac
Apple ha rilasciato oggi aggiornamenti di sicurezza di emergenza per correggere due vulnerabilità zero-day precedentemente sfruttate dagli aggressori per hackerare iPhone, iPad o Mac.
Le vulnerabilità zero-day sono falle di sicurezza conosciute da attaccanti o ricercatori prima che il fornitore del software ne sia venuto a conoscenza o sia stato in grado di correggerle. In molti casi, gli zero-day hanno exploit pubblici di proof-of-concept o sono attivamente sfruttati negli attacchi.
Oggi, Apple ha rilasciato macOS Monterey 12.5.1 e iOS 15.6.1/iPadOS 15.6.1 per risolvere due vulnerabilità zero-day che si dice siano state sfruttate attivamente.
Le due vulnerabilità sono le stesse per tutti e tre i sistemi operativi, con il primo tracciato come CVE-2022-32894. Questa vulnerabilità è una vulnerabilità di scrittura fuori limite nel kernel del sistema operativo.
Il kernel è un programma che opera come componente principale di un sistema operativo e ha i privilegi più elevati in macOS, iPadOS e iOS.
Un'applicazione, come il malware, può utilizzare questa vulnerabilità per eseguire codice con privilegi del kernel. Poiché questo è il livello di privilegio più alto, un processo sarebbe in grado di eseguire qualsiasi comando sul dispositivo, assumendone effettivamente il controllo completo.
La seconda vulnerabilità zero-day è CVE-2022-32893 ed è una vulnerabilità di scrittura fuori limite in WebKit, il motore del browser Web utilizzato da Safari e altre app che possono accedere al Web.
Apple afferma che questo difetto consentirebbe a un utente malintenzionato di eseguire un codice arbitrario e, poiché è nel motore web, potrebbe essere probabilmente sfruttato da remoto visitando un sito Web dannoso.
I bug sono stati segnalati da ricercatori anonimi e corretti da Apple in iOS 15.6.1, iPadOS 15.6.1 e macOS Monterey 12.5.1 con limiti migliorati per il controllo di entrambi i bug.
**L'elenco dei dispositivi interessati da entrambe le vulnerabilità è:
Mac con macOS Monterey
iPhone 6s e successivi
iPad Pro (tutti i modelli), iPad Air 2 e successivi, iPad 5a generazione e successivi, iPad mini 4 e successivi e iPod touch (7a generazione).
Apple ha rivelato lo sfruttamento attivo in natura, tuttavia, non ha rilasciato alcuna informazione aggiuntiva su questi attacchi.
Probabilmente, questi zero-day sono stati utilizzati solo in attacchi mirati, ma è comunque fortemente consigliato installare gli aggiornamenti di sicurezza di oggi il prima possibile.
Sette giorni zero corretti da Apple quest'anno
A marzo, Apple ha corretto altri due bug zero-day utilizzati nel driver grafico Intel (CVE-2022-22674) e AppleAVD (CVE-2022-22675) che potevano essere utilizzati anche per eseguire codice con privilegi del kernel.
A gennaio, Apple ha corretto altri due zero-day sfruttati attivamente che hanno consentito agli aggressori di ottenere l'esecuzione di codice arbitrario con privilegi del kernel (CVE-2022-22587) e di tenere traccia dell'attività di navigazione sul Web e delle identità degli utenti in tempo reale (CVE-2022-22594 ).
A febbraio, Apple ha rilasciato aggiornamenti di sicurezza per correggere un nuovo bug zero-day sfruttato per hackerare iPhone, iPad e Mac, causando arresti anomali del sistema operativo ed esecuzione di codice in remoto su dispositivi compromessi dopo l'elaborazione di contenuti Web dannosi.