Apple ha rilasciato iOS 14.8, iPadOS 14.8 , watchOS 7.6.2 , macOS Big Sur 11.6 e Safari 14.1.2 per correggere due vulnerabilità attivamente sfruttate, una delle quali ha sconfitto le protezioni di sicurezza aggiuntive integrate nel sistema operativo.
L'elenco dei due difetti è il seguente:
CVE-2021-30858 (WebKit) - Un problema gratuito da utilizzare dopo che potrebbe comportare l'esecuzione di codice arbitrario durante l'elaborazione di contenuti Web pericolosi. Il difetto è stato risolto con una migliore gestione della memoria.
CVE-2021-30860 (CoreGraphics) - Una vulnerabilità di integer overflow che potrebbe portare all'esecuzione di codice arbitrario durante l'elaborazione di un documento PDF pericoloso. Il bug è stato corretto con una migliore convalida dell'input.
"Apple è a conoscenza di un rapporto secondo cui questo problema potrebbe essere stato attivamente sfruttato", ha osservato il produttore di iPhone nel suo advisory.
Gli aggiornamenti arrivano settimane dopo che i ricercatori del Citizen Lab dell'Università di Toronto hanno rivelato i dettagli di un exploit zero-day chiamato " FORCEDENTRY " (alias Megalodon) che è stato armato dal fornitore di sorveglianza israeliano NSO Group e presumibilmente utilizzato dal governo del Bahrain per installarlo. Spyware Pegasus sui telefoni di nove attivisti nel paese da febbraio di quest'anno.
Oltre ad essere attivato semplicemente inviando un messaggio dannoso al bersaglio, FORCEDENTRY si distingue anche per il fatto che mina espressamente una nuova funzionalità di sicurezza del software chiamata BlastDoor che Apple ha inserito in iOS 14 per prevenire intrusioni a zero clic filtrando i dati non attendibili inviati su iMessage .
"La nostra ultima scoperta di un altro Apple zero day impiegato come parte dell'arsenale di NSO Group illustra ulteriormente che aziende come NSO Group stanno facilitando il "dispotismo come servizio" per agenzie di sicurezza governative irresponsabili", hanno affermato i ricercatori di Citizen Lab .
"Le app di chat onnipresenti sono diventate un obiettivo importante per i più sofisticati attori delle minacce, comprese le operazioni di spionaggio dello stato nazionale e le società di spyware mercenarie che le servono. Per come sono attualmente progettate, molte app di chat sono diventate un irresistibile obiettivo morbido", hanno aggiunto.
Citizen Lab ha affermato di aver trovato il malware mai visto prima sul telefono di un anonimo attivista saudita, con la catena di exploit che si attiva quando le vittime ricevono un messaggio di testo contenente un'immagine GIF dannosa che, in realtà, sono Adobe PSD (file Photoshop Document ) e file PDF progettati per bloccare il componente iMessage responsabile del rendering automatico delle immagini e distribuire lo strumento di sorveglianza.
CVE-2021-30858, d'altra parte, è l'ultimo di una serie di difetti zero-day di WebKit che Apple ha corretto solo quest'anno. Con questo set di ultimi aggiornamenti, la società ha corretto un totale di 15 vulnerabilità zero-day dall'inizio del 2021.
Si consiglia agli utenti di Apple iPhone, iPad, Mac e Apple Watch di aggiornare immediatamente il proprio software per mitigare qualsiasi potenziale minaccia derivante dallo sfruttamento attivo dei difetti.
Commenti
Posta un commento