Apple виправила дві уразливості нульового дня в iOS, які, можливо, активно використовувались, щоб зламати старі пристрої iPhone, iPad та iPod, про що пише BleepingComputer.
Дві помилки (відслідковуються як CVE-2021-30761 та CVE-2021-30762) спричинені пошкодженням пам’яті та проблем у двигуні WebKit, які знайшли та повідомили анонімні дослідники. Webkit – це механізм візуалізації браузера, який використовується веб-браузерами та програмами Apple для відтворення HTML-вмісту на настільних та мобільних платформах, включаючи iOS, macOS, tvOS та iPadOS.
Зловмисники можуть використовувати дві уразливості, використовуючи зловмисно створений веб-контент (сайти, окремі сторінки, скрипти тощо), який спричиняє довільне виконання коду після завантаження на пристрої.
Пристрої, що зазнали впливу, включають старі:
- iPhone (iPhone 5s, iPhone 6, iPhone 6 Plus).
- iPad (iPad Air, iPad mini 2, iPad mini 3).
- та iPod touch (6-е покоління).
“Apple має звіт про те, що ця проблема, можливо, активно використовувалася”, – сказав представник Apple, описуючи дві вразливості iOS 12.5.4.
Починаючи з березня, ми бачили безперервний потік помилок “нульового дня” (їх за цей час виявили вже 9), що з’являються в рекомендаціях Apple щодо безпеки, більшість із них також вже використовувалися в кібератаках.
Минулого місяця Apple виправила помилку “нульового дня” у macOS (CVE-2021-30713), яка використовувалася шкідливим програмним забезпеченням XCSSET, щоб обійти захист Apple від TCC, призначений для захисту конфіденційності своїх користувачів. Apple також виправила три помилки “нульового дня” (CVE-2021-30663, CVE-2021-30665 та CVE-2021-30666) виявлені у механізмі Webkit, що дозволяють довільне віддалене виконання коду (RCE) на уразливих пристроях, якщо користувач просто відвідає шкідливі веб-сайти.
Компанія також випустила оновлення безпеки для виправлення помилок “нульового дня” iOS (CVE-2021-1879 та CVE-2021-30661) та macOS (CVE-2021-30657) у березні та квітні. Остання була використана шкідливим програмним забезпеченням Shlayer, щоб обійти перевірку безпеки файлового карантину, Gatekeeper та Notarization.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Як виявити та чому краще не сперечатися з “тролями”? ПОРАДИ
Правила безпеки дітей в Інтернеті
Як захистити підлітків від інтернет-шахраїв? ПОРАДИ
До речі, Google планує ускладнити Android-додаткам відстеження користувачів. Компанія анонсувала зміни в те, як обробляються унікальні ідентифікатори пристроїв, що дозволяють відстежувати їх між додатками.
Також Apple має намір випустити оновлення для своїх пристроїв, після якого вони дозволять користувачам дізнаватися, яку саме інформацію про них збирають додатки.
Microsoft детально розповість про “наступне покоління Windows” на спеціальному заході, який відбудеться в кінці цього місяця. Компанія почала розсилку запрошень на захід, який буде повністю присвячено програмній платформі Windows і почнеться о 18:00 (за київським часом) 24 червня.
Окрім цього, зловмисники поширюють шкідливе ПЗ під виглядом популярних Android-додатків від відомих компаній. Підроблений плеєр VLC, антивірус Касперського, а також підроблені додатки FedEx і DHL встановлюють на пристроях жертв банківські трояни Teabot або Flubot, вперше виявлені раніше в цьому році.
