Acil bir güvenlik güncellemesinde Apple, iPhone ve Mac ürünlerini etkileyen ve aktif olarak istismar edilen üç sıfır gün güvenlik açığını tespit etti.
Şu şekilde izlenen bir güvenlik açığı: CVE-2023-41992, tehdit aktörlerinin ayrıcalıkları artırmak için kullanabileceği, Çekirdek Çerçevesinde bulunan bir kusurdur. Takip edilen diğer güvenlik açıklarından ikisi CVE-2023-41993 Ve CVE-2023-41991. sırasıyla WebKit tarayıcı motorunda ve Güvenlik Çerçevesinde bulunur. Apple’ın tavsiyesine göre tehdit aktörleri, bu güvenlik açıklarından yararlanmaları durumunda potansiyel olarak “imza doğrulamasını atlama” ve “kötü niyetli olarak hazırlanmış web sayfaları aracılığıyla rastgele kod yürütme elde etme” becerisine sahip oluyor.
Bu sıfır günlerden etkilenen cihazlar, iPhone 8 ve sonrası dahil olmak üzere eski ve daha yeni Apple ürünleri modelleri arasında farklılık göstermektedir; iPad mini 5. nesil ve sonrası; macOS Monterey veya sonraki sürümlerde çalışan herhangi bir Mac; ve Apple Watch Series 4 ve sonraki modeller.
Bu sorunlar iOS 16.7, iPadOS 16.7, OS 17.0.1, iPadOS 17.0.1 ve Safari 16.6.1’de düzeltilmiştir ve ilk keşfedilen ve rapor edilen Citizen Lab’den Bill Marczak ve Google’ın Tehdit Analizi Grubundan Maddie Stone tarafından yazılmıştır. Citizen Lab genellikle casus yazılım vakalarını takip ediyor ancak şu ana kadar, açıklardan yararlanma veya saldırıların niteliğine ilişkin hiçbir ayrıntı mevcut değil.
Ulusal Güvenlik Açığı Veri Tabanı, “Apple, bu sorunun iOS 16.7’den önceki iOS sürümlerine karşı aktif olarak istismar edilmiş olabileceğine dair bir raporun farkındadır” dedi ancak bunların ne ölçüde istismar edildiği bilinmiyor.