اپل روز پنجشنبه ۱۸ می ۲۰۲۳ به‌روزرسانی‌های امنیتی iOS، iPadOS، macOS، tvOS، watchOS و مرورگر وب سافاری را برای رفع ده‌ها نقص، از جمله سه نقص روز صفر جدید که به طور فعال در سطح اینترنت مورد بهرهبرداری قرار می‌گیرند، ارائه کرد[۱].
این سه نقص امنیتی در زیر ذکر شده است:
- CVE-2023-32409 – یک نقص WebKit که می‌تواند توسط یک بازیگر مخرب برای خارج‌شدن از جعبه ایمنی محتوای وب مورد بهرهبرداری قرار گیرد. با بررسی‌های مرزی بهبودیافته برطرف شد.
- CVE-2023-28204 – یک مشکل خواندن خارج از محدوده در WebKit که می‌تواند برای افشای اطلاعات حساس هنگام پردازش محتوای وب مورد بهرهبرداری قرار گیرد. با اعتبارسنجی ورودی بهبودیافته برطرف شد.
- CVE-2023-32373 – یک باگ use-after free در WebKit که می‌تواند منجر به اجرای کد دلخواه در هنگام پردازش محتوای وب ساخته شده به طور مخرب شود. با بهبود مدیریت حافظه برطرف شد.
اپل به دلیل گزارش CVE-2023-32409، به Clément Lecigne از گروه تحلیل تهدیدات Google (TAG) و Donncha Ó Cearbhaill از آزمایشگاه امنیتی عفو بین‌الملل اعتبار داد. یک محقق ناشناس برای گزارش دو موضوع دیگر تأیید شده است.
شایان‌ذکر است که هر دوی CVE-2023-28204 و CVE-2023-32373 به‌عنوان بخشی از به‌روزرسانی‌های Rapid Security Response – iOS 16.4.1 (a) و iPadOS 16.4.1 (a) – وصله شدند که این شرکت در ابتدای این ماه منتشر کرد[۲].
در حال حاضر هیچ مشخصات فنی اضافی در مورد این نقص‌ها، ماهیت حملات، یا هویت عوامل تهدیدکننده‌ای که ممکن است از آنها بهرهبرداری کنند، وجود ندارد.
گفته می‌شود، چنین ضعف‌هایی از لحاظ تاریخی به‌عنوان بخشی از نفوذهای[۳] بسیار هدفمند[۴] برای استقرار نرم‌افزارهای جاسوسی مزدور در دستگاه‌های مخالفان، روزنامه‌نگاران، و فعالان حقوق بشر و غیره مورداستفاده قرار گرفته‌اند.
آخرین به‌روزرسانی‌ها برای دستگاه‌ها و سیستم‌عامل‌های زیر موجود است:
- iOS 16.5 و iPadOS 16.5 – iPhone 8 و بالاتر، iPad Pro (همه مدل‌ها)، iPad Air نسل ۳ و بالاتر، iPad نسل ۵ به بعد، و iPad mini نسل ۵ به بعد
- iOS 15.7.6 و iPadOS 15.7.6 – iPhone 6s (همه مدل‌ها)، iPhone 7 (همه مدل‌ها)، iPhone SE (نسل اول)، iPad Air 2، iPad mini (نسل چهارم) و iPod touch (نسل هفتم)
- macOS Ventura 13.4 – macOS Ventura
- tvOS 16.5 – Apple TV 4K (همه مدل‌ها) و Apple TV HD
- watchOS 9.5 – اپل‌واچ سری ۴ و جدیدتر
- Safari 16.5 – macOS Big Sur و macOS Monterey
اپل تاکنون در مجموع شش نقص روز صفر با بهرهبرداری فعال را از ابتدای سال ۲۰۲۳ اصلاح کرده است. در اوایل فوریه امسال، این شرکت نقص WebKit (CVE-2023-23529) را که می‌تواند منجر به اجرای کد از راه دور شود را وصله کرد[۵].
سپس ماه گذشته، اصلاحاتی[۶] را برای یک جفت آسیب‌پذیری (CVE-2023-28205 و CVE-2023-28206) ارسال کرد که امکان اجرای کد با امتیازات بالا را فراهم می‌کرد. Lecigne و Ó Cearbhaill با گزارش این نقص‌های امنیتی اعتبار گرفتند.
منابع
[۱] https://support.apple.com/en-us/HT201222
[۲] https://support.apple.com/en-us/HT201224
[۳] https://thehackernews.com/2023/05/bouldspy-android-spyware-iranian.html
[۴] https://thehackernews.com/2023/04/nso-group-used-3-zero-click-iphone.html
[۵] https://apa.aut.ac.ir/?p=9482
[۶] https://apa.aut.ac.ir/?p=9570
[۷] https://thehackernews.com/2023/05/webkit-under-attack-apple-issues.html
ثبت ديدگاه