Apple выпустила обновления безопасности для устранения уязвимости "нулевого дня", которую злоумышленники могут использовать в атаках на компьютеры Mac и устройства Apple Watch.
"Нулевые дни" — это недостатки безопасности, о которых поставщик программного обеспечения не знает и еще не исправил. В некоторых случаях этот тип уязвимости может также иметь общедоступные экспериментальные эксплойты до того, как будет выпущено исправление, или может активно использоваться в "дикой природе".
В бюллетенях по безопасности, опубликованных в понедельник, Apple сообщила, что им известно об сообщениях об этой ошибке безопасности, "которая, возможно, активно использовалась".
Уязвимость представляет собой проблему с записью за пределами памяти (CVE-2022-22675) в AppleAVD (расширение ядра для декодирования аудио и видео), которая позволяет приложениям выполнять произвольный код с привилегиями ядра.
Об ошибке сообщили анонимные исследователи, и она была исправлена Apple в macOS Big Sur 11.6.6 и watchOS 8.6 с улучшенной проверкой границ.
В список затронутых устройств входят Apple Watch Series 3 или новее и компьютеры Mac под управлением macOS Big Sur.
В то время как Apple опубликовала отчеты об активности эксплойтов "в дикой природе", она не опубликовала никакой дополнительной информации об этих атаках.
Скрывая информацию, компания, вероятно, стремится позволить обновлениям безопасности достичь как можно большего количества Apple Watch и Mac, прежде чем злоумышленники узнают подробности нулевого дня и начнут развертывать эксплойты в других атаках.
Хотя этот "нулевой день", скорее всего, использовался только в целевых атаках, все же настоятельно рекомендуется как можно скорее установить сегодняшние обновления безопасности macOS и watchOS, чтобы заблокировать попытки атаки.
В январе Apple исправила два других эксплойта "нулевого дня", чтобы позволить злоумышленникам выполнять произвольный код с привилегиями ядра (CVE-2022-22587) и отслеживать действия в Интернете и удостоверения пользователей в режиме реального времени (CVE-2022-22594).
Месяц спустя Apple выпустила обновления безопасности для исправления новой ошибки нулевого дня (CVE-2022-22620), используемой для взлома iPhone, iPad и Mac, что приводит к сбоям ОС и удаленному выполнению кода на скомпрометированных устройствах Apple.
В марте еще два активно эксплуатируемых "нулевых дня" в графическом драйвере Intel (CVE-2022-22674) и медиадекодере AppleAVD (CVE-2022-22675) были направлены на блокировку атак с использованием приложений, которые могли считывать память ядра или выполнять произвольный код. с привилегиями ядра.
Эти первые пять "нулевых дней" затронули iPhone (iPhone 6s и новее), компьютеры Mac под управлением macOS Monterey и несколько моделей iPad.
В течение прошлого года компания также исправила длинный список уязвимостей "нулевого дня", которые использовались в "дикой природе" для устройств iOS, iPadOS и macOS.
Иван Ковалев
VIA
Новые наушники значительно улучшены по сравнению со старыми с точки зрения дизайна, прочности, долговечности,
