Apple Memperbaiki 3 Kerentanan Zero-Day Lainnya

Dalam pembaruan keamanan darurat, Apple telah mengidentifikasi tiga kerentanan zero-day mempengaruhi iPhone dan produk Mac yang secara aktif dieksploitasi.

Satu kerentanan, dilacak sebagai CVE-2023-41992, adalah kelemahan yang ditemukan dalam Kerangka Kernel yang dapat dieksploitasi oleh pelaku ancaman untuk meningkatkan hak istimewa. Dua dari kerentanan lainnya, dilacak sebagai CVE-2023-41993 dan CVE-2023-41991. ditemukan di mesin browser WebKit dan Kerangka Keamanan. Pelaku ancaman mendapatkan kemampuan untuk “melewati validasi tanda tangan” serta “mendapatkan eksekusi kode arbitrer melalui halaman web perusak” jika mereka mengeksploitasi kerentanan ini, menurut penasehat Apple.

Perangkat yang terkena dampak zero-day ini bervariasi antara model produk Apple lama dan model terbaru, termasuk iPhone 8 dan versi lebih baru; iPad mini generasi ke-5 dan lebih baru; Mac apa pun yang menjalankan macOS Monterey atau lebih baru; dan Apple Watch Series 4 dan versi lebih baru.

Masalah ini telah diperbaiki di iOS 16.7, iPadOS 16.7, OS 17.0.1, iPadOS 17.0.1, dan Safari 16.6.1, dan telah diperbaiki pertama kali ditemukan dan dilaporkan oleh Bill Marczak di Citizen Lab dan Maddie Stone di Grup Analisis Ancaman Google. Citizen Lab biasanya mengawasi kasus-kasus spyware, namun sejauh ini belum ada rincian yang tersedia mengenai sifat eksploitasi atau serangan di alam liar. 

"Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif terhadap versi iOS sebelum iOS 16.7,” kata Basis Data Kerentanan Nasional, meskipun sejauh mana eksploitasi tersebut tidak diketahui.