Apple släppte på torsdagen två kritiska ”emergency” uppdateringar för att åtgärda två sårbarheter med zero-day sårbarheter. Dessa kan användas i attacker mot iPhone-, iPad- och Mac-enheter och ger hackare åtkomst till operativsystemens interna delar som enheterna kör på.
De två buggarna hittades i WebKit webbläsare motor (CVE-202b-42916 och CVE-2023-42917), vilket tillät angripare att få tillgång till känslig information via en sårbarhet i utläsningsprocessen och utföra godtycklig kod via en minneskorruptionsbugg på sårbara enheter på dåliga webbsidor.
Detta innebär att 20 sårbarheter med zero-day varning åtgärdats sedan årets början.
Apple är medvetet om en rapport om att denna fråga kan ha utnyttjats mot versioner av iOS före iOS 16.7.1, sa företaget i ett uttalande på onsdagen.
Den första sårbarheten, CVE-2022-22675, finns i macOS för Monterey och i iOS eller iPadOS för de flesta iPhone- och iPad-modeller. Felet, som härrör från ett problem med skrivning utanför tillåtna gränser, ger hackare möjlighet att exekvera skadlig kod som körs med kärnans privilegier, den mest säkerhetskänsliga regionen av operativsystemet.
CVE-2022-22674 är också ett resultat av ett läsningsproblem utanför tillåtna gränser som kan leda till att man kan nå kärnminnet.
Apple säger att de har åtgärdat säkerhetsbristerna för enheter som kör iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2 och Safari 17.1.2 med förbättrad inmatningsvalidering och låsning.
Listan över påverkade Apple-enheter är omfattande och inkluderar:
- iPhone XS och senare
- iPad Pro 12,9 tum 2:a generationen och senare
- iPad Pro 10,5 tum
- iPad Pro 11 tum 1:a generationen och senare
- iPad Air 3:e generationen och senare
- iPad 6:e generationen och senare
- iPad mini 5:e generationen och senare
- Mac som kör macOS Monterey, Ventura, Sonoma
Det var säkerhetsforskaren Clément Lecigne från Googles Threat Analysis Group (TAG) som hittade och rapporterade båda noll-dagars sårbarheterna.
Även om Apple har släppt knapphändiga detaljer om pågående sårbarheter, har Google TAG-forskare ofta hittat och avslöjat zero-day sårbarheter som använts i statsstödda spionprogramattacker mot högriskindivider som journalister, oppositionspolitiker och dissidenter.