聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
该漏洞的编号是CVE-2024-23222,是WebKit 混淆漏洞,可用于在目标设备上获得代码执行权限。打开恶意网页后,攻击者可在运行易受攻击的 iOS、macOS 和 tvOS 版本上运行的设备上执行任意的恶意代码。苹果指出,“处理恶意构造的 web 内核可导致任意代码执行后果。苹果了解到有报告称该漏洞或已遭利用。”
苹果改进了 iOS 16.7.5及后续版本、iOS 16.7.5及后续版本、macOS Monterey 12.7.3及更高版本,以及 tvOS 17.3及后续版本中的检查,修复了该漏洞。
受该漏洞影响的设备数量庞大,因为它同时影响新旧设备型号,包括:
iPhone 8、iPhone 8 Plus、iPhone X、iPad 第5代、iPad Pro 9.7-inch 和 iPad Pro 12.9-inch 第1代
iPhone XS 及后续版本、iPad Pro 12.9-inch 第2代及后续版本、iPad Pro 10.5-inch、iPad Pro 11-inch 第1代及后续版本、iPad Air 第3代及后续版本、iPad 第6代及后续版本以及 iPad mini 第5代及后续版本。
运行 macOS Monterey 及后续版本的 Mac设备
Apple TV HD和Apple TV 4K(所有型号)
虽然该漏洞仅可能用于针对性攻击活动中,但建议尽快安装刚发布的安全更新,拦截潜在的攻击尝试。
苹果还将补丁向后兼容到老旧的 iPhone 和 iPad 机型,修复其它两个 WebKit 0day 漏洞(CVE-2023-42916和CVE-2023-42917)。
去年,苹果共修复了20个已遭在野利用的 0day 漏洞,包括:
11月修复2个0day(CVE-2023-42916和CVE-2023-42917)
10月修复2个0day(CVE-2023-42824和CVE-2023-5217)
9月修复5个0day(CVE-2023-41061、CVE-2023-41064、CVE-2023-41991、CVE-2023-41992和CVE-2023-41993)
7月修复2个0day(CVE-2023-37450和CVE-2023-38606)
6月修复3个0day(CVE-2023-32434、CVE-2023-32435和CVE-2023-32439)
5月修复3个0day(CVE-2023-32409、CVE-2023-28204和CVE-2023-32373)
4月修复2个0day(CVE-2023-28206和CVE-2023-28205)
2月修复1个WebKit 0day(CVE-2023-23529)
题图:Pexels License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~