Apple выпускает исправления для основных уязвимостей безопасности iOS и macOS
Первая уязвимость, обозначенная как CVE-2023-28205, описана Apple как проблема в WebKit, позволяющая обрабатывать вредоносный веб-контент, что может привести к выполнению произвольного кода. Вторая, CVE-2023-28206, описывается как проблема с IOSurfaceAccelerator, которая позволяет приложению «выполнять произвольный код с привилегиями ядра», что означает, что злоумышленники могут действовать от имени пользователя и получить административный контроль над целевым устройством. Компания заявляет, что ей известно, что уязвимость, возможно, уже использовалась.
Обе уязвимости нацелены на iOS 16.4.1, iPadOS 16.4.1, macOS 13.3.1 и Safari 16.4.1, и, соотвтетственно, затрагивают iPhone 8 и более поздние модели, все модели iPad Pro, iPad Air третьего поколения или новее, iPad и iPad Mini — пятое. поколения или более поздней версии, а также компьютеры Mac под управлением macOS Ventura.
Apple выпустила исправления уязвимостей в пятницу, но, учитывая пасхальные выходные, поначалу на них почти не обратили внимания. В своем бюллетене Apple рекомендует пользователям для безопасности обновлять свое программное обеспечение.
«Фреймворк IOSurfaceAccelerator используется многими приложениями для iOS и macOS, требующими высокопроизводительной обработки графики, такими как видеоредакторы, игры и приложения дополненной реальности», — сказал Кришна Вишнубхотла, вице-президент по продуктовой стратегии поставщика решений для защиты мобильных устройств Zimperium Inc.. «Если будет использован IOSurfaceAccelerator, это потенциально может позволить злоумышленнику получить несанкционированный доступ к конфиденциальным данным или выполнить вредоносный код на устройстве iOS».
WebKit, движок в браузере Safari, используемый Apple для отображения веб-страниц в приложениях, гораздо более известен, и Вишнубхотла отметил, что любые уязвимости в системе безопасности движка могут представлять значительный риск для пользователей.
«Использование уязвимости в WebKit может позволить злоумышленникам получить на устройстве контроль над возможностями просмотра веб-страниц и украсть конфиденциальные пользовательские данные, такие как учетные записи для входа в систему и другую личную информацию», — сказал он. «Это также может позволить злоумышленникам внедрять на веб-страницы вредоносный код или запускать фишинговые атаки, чтобы обманом заставить пользователей раскрыть конфиденциальную информацию».
