Apple repareert de eerste zero-day bug die dit jaar bij aanvallen is gebruikt

Apple repareert de eerste zero-day bug die dit jaar bij aanvallen is gebruikt​

Door Sergiu Gatlan
Publicatie van BleepinComputer


apple_triangle.jpg



Apple heeft beveiligingsupdates uitgebracht voor de eerste zero-day kwetsbaarheid van dit jaar die wordt misbruikt in aanvallen
die gevolgen kunnen hebben voor iPhones, Macs en Apple TV's.

De zero-day die vandaag is verholpen, wordt getraceerd als CVE-2024-23222 [iOS, macOS, tvOS, Safari] en is een
WebKit-verwarring die aanvallers kunnen misbruiken om code uit te voeren op gerichte apparaten.

Succesvolle exploitatie stelt bedreigingsactoren in staat om willekeurige kwaadaardige code uit te voeren op apparaten met
kwetsbare iOS-, macOS- en tvOS-versies na het openen van een kwaadaardige webpagina.

"Het verwerken van kwaadwillig gemaakte webinhoud kan leiden tot willekeurige code-uitvoering. Apple is op de hoogte van
een melding dat dit probleem mogelijk is misbruikt", aldus Apple vandaag.

Het bedrijf heeft de ontdekking van dit beveiligingslek nog niet toegeschreven aan een beveiligingsonderzoeker.
Hoewel het bedrijf heeft bekendgemaakt dat het op de hoogte is van in-the-wild-exploitatie, heeft het nog geen verdere details
bekendgemaakt over deze aanvallen.

Apple heeft CVE-2024-23222 aangepakt met verbeterde controles in iOS 16.7.5 en hoger, iPadOS 16.7.5 en hoger en macOS
Monterey 12.7.3 en hoger, evenals in tvOS 17.3 en hoger.

De volledige lijst van apparaten waarop deze WebKit zero-day van invloed is, is vrij uitgebreid, aangezien de bug van invloed is
op oudere en nieuwere modellen, waaronder:
  • iPhone 8, iPhone 8 Plus, iPhone X, iPad 5e generatie, iPad Pro 9,7-inch en
  • iPad Pro 12,9-inch 1e generatie

  • iPhone XS en nieuwer, iPad Pro 12,9-inch van de tweede generatie en nieuwer, iPad Pro 10,5-inch,
  • iPad Pro 11-inch van de eerste generatie en nieuwer, iPad Air van de derde generatie en nieuwer,
  • iPad van de zesde generatie en nieuwer en iPad mini van de vijfde generatie en nieuwer

  • Macs met macOS Monterey en hoger

  • Apple TV HD en Apple TV 4K (alle modellen)

Hoewel deze zero-day kwetsbaarheid waarschijnlijk alleen werd gebruikt in gerichte aanvallen, is het sterk aan te raden om de
beveiligingsupdates van vandaag zo snel mogelijk te installeren om mogelijke aanvalspogingen te blokkeren.

Vandaag heeft Apple ook patches teruggezet naar oudere iPhone- en iPad-modellen voor twee andere WebKit zero-days
(CVE-2023-42916 en CVE-2023-42917) die in november zijn gepatcht voor nieuwere apparaten.

Vorig jaar heeft het bedrijf in totaal 20 'zero-day'-lekken verholpen die in het wild werden uitgebuit,
waaronder
  • Vorig jaar heeft het bedrijf in totaal 20 'zero-day'-fouten verholpen die in het wild werden uitgebuit,
    waaronder:


  • twee zero-days (CVE-2023-42916 en CVE-2023-42917) in november

  • twee zero-days (CVE-2023-42824 en CVE-2023-5217) in oktober

  • vijf zero-days (CVE-2023-41061, CVE-2023-41064, CVE-2023-41991, CVE-2023-41992 en
    CVE-2023-41993) in september


  • twee zero-days (CVE-2023-37450 en CVE-2023-38606) in juli

  • drie zero-days (CVE-2023-32434, CVE-2023-32435 en CVE-2023-32439) in juni

  • nog eens drie zero-days (CVE-2023-32409, CVE-2023-28204 en CVE-2023-32373) in mei

  • twee zero-days (CVE-2023-28206 en CVE-2023-28205) in april

  • en nog een WebKit zero-day (CVE-2023-23529) in februari
[/LIST]
 
Dubbelpost? Die heb je nadien ook hier gezet.
 
Dit heb ik nog niet eerder meegemaakt - hetzelfde bericht is tweemaal gepost.
Beide berichten hebben ook dezelfde tijdstempel.
 
Terug
Bovenaan Onderaan