Apple vá 2 lỗi zero-day đang bị khai thác để xâm nhập iPhone và Mac

[WhiteHat Team]

Apple vừa phát hành bản cập nhật an ninh khẩn cấp để xử lý 2 lỗ hổng zero-day đang bị khai thác trên thực tế để xâm phạm điện thoại iPhone, máy tính Mac và máy tính bảng iPad. Người dùng được khuyến cáo cập nhật bản vá sớm nhất có thể để đảm bảo an toàn cho các thiết bị.

Lỗ hổng đầu tiên là CVE-2023-28206, lỗi ghi ngoài giới hạn (out-of-bounds write) trong IOSurfaceAccelerator, có thể cho phép một ứng dụng tự tạo thực thi mã tùy ý với các đặc quyền kernel.

Lỗ hổng thứ 2 là CVE-2023-28205, một điểm yếu liên quan đến bộ nhớ (use-after-free) trong WebKit có thể dẫn đến làm hỏng dữ liệu hoặc thực thi mã tùy ý khi tái sử dụng bộ nhớ đã được giải phóng.

Kẻ tấn công có thể khai thác lỗ hổng bằng cách lừa mục tiêu tải về một trang web độc hại do chúng kiểm soát để từ đó thực thi mã trên các hệ thống bị xâm phạm.

Hai lỗ hổng đã được xử lý trong phiên bản iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1, và Safari 16.4.1 bằng cách xác thực đầu vào và quản lý bộ nhớ được cải thiện.

Danh sách các thiết bị bị ảnh hướng khá rộng, bao gồm:

• Các dòng từ iPhone 8 trở lên
• Tất cả các dòng iPad Pro
• iPad Air từ thế hệ thứ 3 trở lên
• iPad từ thế hệ thứ 5 trở lên
• iPad mini thế hệ thứ 5 trở lên
• Máy tính Mac đang chạy hệ điều hành macOS Ventura

Dù thừa nhận các lỗ hổng này đang bị khai thác trên thực tế nhưng Apple vẫn chưa công khai chi tiết thông tin về các cuộc tấn công này.

Tháng 02/2023, Apple cũng đã phải xử lý một lỗ hổng zero-day khác trong WebKit (CVE-2023-23529) đang bị kẻ tấn công khai thác để kích hoạt lỗi crash trong hệ điều hành và thực thi mã trên các thiết bị iPhone, iPad và Mac tồn tại lỗ hổng.

Theo Bleeping Computer​