Apple corrige mais três vulnerabilidades de dia zero

Em uma atualização de segurança de emergência, a Apple identificou três vulnerabilidades de dia zero afetando iPhones e produtos Mac que estão sendo explorados ativamente.

Uma vulnerabilidade, rastreada como CVE-2023-41992, é uma falha encontrada no Kernel Framework que os agentes de ameaças podem explorar para aumentar privilégios. Duas das outras vulnerabilidades, rastreadas como CVE-2023-41993 e CVE-2023-41991. são encontrados no mecanismo do navegador WebKit e no Security Framework, respectivamente. Os atores da ameaça ganham a capacidade de “ignorar a validação de assinatura”, bem como “obter execução arbitrária de código por meio de páginas da web criadas com códigos maliciosos”, caso explorem essas vulnerabilidades, de acordo com o comunicado da Apple.

Os dispositivos afetados por esses dias zero variam entre modelos mais antigos e mais recentes de produtos Apple, incluindo iPhone 8 e posteriores; iPad mini de 5ª geração e posterior; qualquer Mac rodando macOS Monterey ou posterior; e o Apple Watch Series 4 e posterior.

Esses problemas foram corrigidos no iOS 16.7, iPadOS 16.7, OS 17.0.1, iPadOS 17.0.1 e Safari 16.6.1 e foram descoberto e relatado pela primeira vez por Bill Marczak do Citizen Lab e Maddie Stone do Threat Analysis Group do Google. O Citizen Lab normalmente monitora casos de spyware, mas até o momento não há detalhes disponíveis sobre a natureza das explorações ou ataques em andamento. 

"Apple está ciente de um relatório de que este problema pode ter sido explorado ativamente em versões do iOS anteriores ao iOS 16.7”, afirmou o Banco de Dados Nacional de Vulnerabilidades, embora a extensão em que foram explorados seja desconhecida.