0
0
A Apple anunciou na segunda-feira o lançamento de atualizações para macOS, iOS e Safari, e todas incluem um patch WebKit para uma nova vulnerabilidade de dia zero rastreada como CVE-2023-23529.
O dia zero, descrito como um problema de confusão de tipo, pode ser explorado para execução de código arbitrário, fazendo com que o usuário-alvo acesse um site malicioso.
Um pesquisador anônimo foi creditado por relatar CVE-2023-23529 e nenhuma informação foi divulgada sobre os ataques que exploram a vulnerabilidade.
No entanto, um dos assessores da Apple agradeceu ao Citizen Lab da Munk School da Universidade de Toronto por sua assistência. Não está claro se essa assistência estava relacionada ao CVE-2023-23529, mas se fosse, o dia zero pode ter sido explorado em ataques vinculados a fornecedores de spyware mercenários , cujas atividades são frequentemente detalhadas pelo Citizen Lab.
Além do dia zero, a atualização mais recente do macOS da Apple, Ventura 13.2.1 , corrige um problema de execução de código no kernel (CVE-2023-23514) relatado por pesquisadores do Google Project Zero e Pangu Lab, bem como atalhos- falha relacionada que pode expor dados do usuário (CVE-2023-23522), relatada por pesquisadores do Alibaba Group.
A Apple não menciona nenhum relatório de exploração associado a essas duas vulnerabilidades.
As atualizações do iOS e iPadOS 16.3.1 também corrigem o problema do kernel CVE-2023-23514, além do dia zero. A atualização mais recente do Safari , versão 16.3.1, corrige apenas a falha de dia zero.
Em muitos casos, as vulnerabilidades de dia zero que afetam os produtos da Apple são exploradas por agentes de ameaças patrocinados pelo estado, geralmente trabalhando com fornecedores de spyware.
Em resposta a esses tipos de ataques, a Apple anunciou no ano passado o Modo de bloqueio , um recurso que deve limitar significativamente a capacidade de usar explorações sofisticadas contra seus clientes.
Segundo dados do Google Project Zero, nove das vulnerabilidades de produtos da Apple cuja existência veio à tona em 2022 foram exploradas em ataques, incluindo três que impactam o WebKit.
FONTE: SECURITYWEEK