Apple ha rilasciato aggiornamenti per iOS 15.0.2 e iPadOS 15.0.2 per correggere una vulnerabilità zero-day che è stata attivamente sfruttata negli attacchi del mondo reale su iPhone e iPad.
Apple ha rilasciato aggiornamenti di emergenza per iOS 15.0.2 e iPadOS 15.0.2 per correggere una vulnerabilità zero-day che è stata attivamente sfruttata negli attacchi del mondo reale su iPhone e iPad.
L'ID di vulnerabilità CVE-2021-30883 è un bug irreversibile di danneggiamento della memoria in IOMobileFrameBuffer che consente agli aggressori di eseguire comandi su dispositivi vulnerabili con privilegi del kernel.
Poiché i privilegi del kernel consentono a un'applicazione di eseguire qualsiasi comando sul dispositivo, gli aggressori potrebbero sfruttare la vulnerabilità per rubare dati o installare malware sul dispositivo.
Apple non fornisce informazioni dettagliate sui modelli di attacco effettivi, ma conferma il rilevamento di campagne dannose. In un bollettino sulla sicurezza, l'azienda afferma:
Apple è a conoscenza di segnalazioni di effettivo sfruttamento del problema.
Apple sta deliberatamente utilizzando un linguaggio vago in questa fase per garantire che l'aggiornamento si applichi al maggior numero possibile di dispositivi. In caso contrario, altri aggressori potranno apprendere i dettagli degli attacchi e analizzare la patch per creare i propri exploit.
Tuttavia, poco dopo la scoperta della vulnerabilità, il ricercatore di sicurezza Saar Amar ha rilasciato un rapporto tecnico e un exploit sperimentale che è stato decodificato dalla patch.
L'elenco dei dispositivi interessati è piuttosto ampio e copre modelli vecchi e nuovi, inclusi iPhone 6s e successivi, iPad Pro (tutti i modelli), iPad Air 2 e successivi, iPad di quinta generazione e successivi, iPad mini 4 e successivi e iPod touch ( 7a generazione).
Sebbene sia possibile che la vulnerabilità venga sfruttata in attacchi mirati contro obiettivi specifici e non sia diffusa, si consiglia vivamente di installare l'aggiornamento il prima possibile a causa del pericolo della vulnerabilità.
All'inizio di quest'anno, Apple ha corretto una serie di altre vulnerabilità zero-day utilizzate negli attacchi su iPhone, iPad e dispositivi macOS, tra cui:
A settembre, Apple ha corretto due vulnerabilità zero-day, una delle quali è stata utilizzata per installare lo spyware Pegasus sugli iPhone.
Alla fine di agosto, l'exploit FORCEDENTRY (precedentemente monitorato da Amnesty Tech come Megalodon) è stato corretto.
A febbraio sono state corrette tre vulnerabilità zero-day in iOS (CVE-2021-1870, CVE-2021-1871, CVE-2021-1872), che sono state ampiamente sfruttate in attacchi reali.
A marzo è stata risolta una vulnerabilità zero-day in iOS (CVE-2021-1879) che poteva essere sfruttata attivamente.
Ad aprile sono state risolte una vulnerabilità zero-day in iOS (CVE-2021-30661) e un'altra vulnerabilità in macOS (CVE-2021-30657), che sono state sfruttate dal malware Shlayer.
A maggio, sono state corrette tre vulnerabilità zero-day in iOS (CVE-2021-30663, CVE-2021-30665 e CVE-2021-30666) che consentivano l'esecuzione arbitraria di codice remoto (RCE) quando si visitavano siti Web dannosi.
A maggio, una correzione per macOS zero-day (CVE-2021-30713), che è stata utilizzata dal malware XCSSET per aggirare la protezione della privacy TCC di Apple.
A giugno, sono state corrette due vulnerabilità zero-day in iOS (CVE-2021-30761 e CVE-2021-30762), che potrebbero essere utilizzate attivamente per hackerare vecchi dispositivi iPhone, iPad e iPod.
E alla fine di settembre, uno dei ricercatori ha divulgato pubblicamente informazioni sugli exploit di tre vulnerabilità zero-day dopo che Apple ha ignorato le sue richieste e ha ritardato la patch.
2021-10-12 10:15:02
Autore: Vitalii Babkin