Apple 发布紧急安全更新,以修复三个新的零日漏洞
WebKit 浏览器引擎 (CVE-2023-41993) 和安全框架 (CVE-2023-41991) 中发现了两个错误,使攻击者能够使用恶意应用程序绕过签名验证或通过恶意制作的网页获取任意代码执行权限。
第三个是在内核框架中找到的,它提供 API 以及对内核扩展和内核驻留设备驱动程序的支持。本地攻击者可以利用此缺陷 (CVE-2023-41992) 来升级权限。
Apple 通过解决证书验证问题和改进检查,修复了 macOS 12.7/13.6、iOS 16.7/17.0.1、iPadOS 16.7/17.0.1 和 watchOS 9.6.3/10.0.1 中的三个零日错误。
该公司在描述安全漏洞的安全公告中透露,“苹果公司了解到一份报告称,iOS 16.7 之前的 iOS 版本可能已积极利用此问题。”
这三个零日漏洞均由多伦多大学芒克学院公民实验室的 Bill Marczak 和 Google 威胁分析小组的 Maddie Stone 发现并报告。
虽然苹果尚未提供有关漏洞利用的更多详细信息,但公民实验室和谷歌威胁分析小组的安全研究人员经常披露零日漏洞,这些漏洞被滥用在针对高风险个人的有针对性的间谍软件攻击中,其中包括记者、反对派政客、和持不同政见者。
—— BleepingComputer