Компания Apple выпустила внеплановые обновления, устраняющие две 0-day уязвимости, которые уже использовались в атаках на пользователей iPhone и Mac. Ошибки были найдены во фреймворках Image I/O и Wallet и получили идентификаторы CVE-2023-41064 (обнаружена исследователями Citizen Lab) и CVE-2023-41061 (обнаружена самой Apple).
CVE-2023-41064 представляет собой уязвимость, связанную с переполнением буфера. Проблема срабатывает при обработке вредоносных изображений и может привести к выполнению произвольного кода на непропатченных устройствах.
CVE-2023-41061 связана с валидацией, и ее можно эксплуатировать при помощи вредоносных вложений, что так же позволит добиться выполнения произвольного кода на целевых устройствах.
Apple исправила уязвимости в составе macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 и watchOS 9.6.2.
Список затронутых уязвимостями нулевого дня устройств довольно обширен, поскольку ошибки затрагивают как старые, так и новые девайсы:
- iPhone 8 и новее;
- iPad Pro (все модели), iPad Air 3-го поколения и новее, iPad 5-го поколения и новее, iPad mini 5-го поколения и новее;
- компьютеры Mac под управлением macOS Ventura;
- Apple Watch Series 4 и новее.
Специалисты Citizen Lab сообщают, что CVE-2023-41064 и CVE-2023-41061 активно применялись злоумышленниками и являлись частью цепочки zero-click эксплоитов для iMessage, которая получила название BLASTPASS.
Известно, что эти атаки использовалась для развертывания шпионского ПО Pegasus от NSO Group на полностью пропатченных iPhone (под управлением iOS 16.6). Для этой цели атакующие задействовали вложения PassKit, содержащие вредоносные изображения.
«Мы назвали эту цепочку эксплоитов BLASTPASS. Она может скомпрометировать iPhone под управлением последней версии iOS (16.6) без какого-либо взаимодействия с жертвой, — пишут эксперты. — Эксплоит включал в себя вложения PassKit с вредоносными изображениями, которые отправлялись жертве из учетной записи iMessage злоумышленника».
Специалисты Citizen Lab призывают всех пользователей устройств Apple немедленно обновить свои гаджеты, а тех людей, которые могут подвергаться риску целевых атак в силу своей профессии или деятельности, активировать режим Lockdown.
