Rilasciati aggiornamenti urgenti per correggere più vulnerabilità su Apple iOS e macOS

Giovedì Apple ha rilasciato aggiornamenti di sicurezza per correggere più vulnerabilità di sicurezza nelle versioni precedenti di iOS e macOS che si dice siano state rilevate in exploit in natura, oltre ad espandere le patch per una vulnerabilità di sicurezza precedentemente collegata abusata dallo strumento di sorveglianza Pegasus di NSO Group per prendere di mira Utenti iPhone.

Il principale tra questi è CVE-2021-30869, un difetto di confusione di tipo che risiede nel componente del kernel XNU sviluppato da Apple che potrebbe causare l'esecuzione di codice arbitrario da parte di un'applicazione dannosa con i privilegi più elevati. Il gigante della tecnologia con sede a Cupertino ha affermato di aver risolto il bug con una migliore gestione dello stato.

Il gruppo di analisi delle minacce di Google, a cui è stato attribuito il merito di aver segnalato il difetto, ha affermato di aver rilevato la vulnerabilità "utilizzata in combinazione con un'esecuzione di codice remoto di N-day mirata a WebKit".

Altri due difetti includono CVE-2021-30858 e CVE-2021-30860 , entrambi risolti dalla società all'inizio di questo mese in seguito alla divulgazione da parte del Citizen Lab dell'Università di Toronto di un exploit precedentemente sconosciuto chiamato "FORCEDENTRY" (alias Megalodon) che potrebbe infettare i dispositivi Apple senza nemmeno un clic.

Si dice che l'attacco remoto a zero clic che arma CVE-2021-30860 sia stato effettuato da un cliente della controversa società israeliana NSO Group almeno dal febbraio 2021. La portata e la portata dell'operazione rimangono ancora poco chiare.

Si affidava a iMessage come punto di ingresso per inviare codice dannoso che installava furtivamente lo spyware Pegasus sui dispositivi ed esfiltrava dati sensibili senza informare le vittime. L'exploit è anche significativo per la sua capacità di aggirare le difese costruite da Apple in iOS 14, chiamate BlastDoor, per prevenire tali intrusioni filtrando i dati non attendibili inviati tramite l'applicazione di messaggistica.

Le patch sono disponibili per i dispositivi con macOS Catalina e iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 e iPod touch (6a generazione) con iOS 12.5.4.

Lo sviluppo arriva anche quando i ricercatori della sicurezza hanno rivelato difetti zero-day senza patch in iOS, tra cui un bug di bypass della schermata di blocco e una serie di vulnerabilità che potrebbero essere sfruttate da un'app per ottenere l'accesso agli indirizzi e-mail e ai nomi completi dell'ID Apple degli utenti, controlla se un'app specifica è installata sul dispositivo dato il suo ID bundle e persino recuperare le informazioni Wi-Fi senza un'adeguata autorizzazione.

Il ricercatore illusionofchaos, che ha rivelato gli ultimi tre problemi, ha affermato che sono stati segnalati ad Apple tra il 10 marzo e il 4 maggio. In effetti, un articolo del Washington Post pubblicato due settimane fa ha rivelato come la società si trovi su un "enorme arretrato" di rapporti di vulnerabilità, lasciandoli irrisolto per mesi, distribuisce pagamenti monetari inferiori ai cacciatori di bug e, in alcuni casi, esclude completamente i ricercatori dal suo programma per sviluppatori per la presentazione di rapporti.