У MacOS та iOS знайшли критичні вразливості — майже кожен власник гаджета ризикує безпекою

Спеціалісти з безпеки знову виявили серйозні вразливості у iOS і macOS. Користувачів закликали терміново оновити свої пристрої до iOS 16.4.1 і macOS 13.3.1, для старих версій оновлення також доступні.

За словами дослідників, серйозні баги вже активно експлуатуються зловмисниками. “Вразливості настільки неприємні, що для боротьби з ними в Apple вкрай оперативно випустили оновлення, причому не тільки для найсвіжіших операційних систем, а й для декількох попередніх версій”, — пояснили кіберспеціалісти.

Всього було виявлено дві вразливості. Перша, що отримала назву CVE-2023–28205 (рівень небезпеки “високий”: 8.8/10), стосується двигуна WebKit, який є основою багатьох браузерів, Safari зокрема. Суть цієї вразливості в тому, що, використовуючи спеціально створену шкідливу сторінку, можна виконати на пристрої довільний код.

Друга вразливість — CVE-2023–28206 (рівень небезпеки “високий”: 8.6/10) — була знайдена в об’єкті IOSur­faceAc­cel­er­a­tor. Її експлуатація дає можливість виконання коду із правами ядра операційної системи.

Обидві вразливості можуть використовуватися в парі: у цьому випадку перша служить для початкового проникнення у пристрій та експлуатації другої вразливості. А друга, своєю чергою, дозволяє «втекти з пісочниці» і робити із зараженим пристроєм практично будь-що.

Вразливості стосуються як настільних операційних систем macOS, так і мобільних: iOS, iPa­dOS та tvOS. Вразливі не тільки нові покоління цих ОС, а й попередні, тому Apple поетапно випустила оновлення для цілого ряду систем: macOS 11, 12 і 13, iOS/iPadOS 15 і 16, а також для tvOS 16.

Нагадаємо — декілька днів тому стало відомо, що хакерське угруповання Lock­Bit, скандально відоме своїми вірусами-вимагачами, створило перше шкідливе програмне забезпечення для комп’ютерів Apple. Збірка вірусу для Mac отримала назву «locker_Apple_M164». Початкові методи атак Lock­Bit включають соціальну інженерію: фішинг, компрометацію ділової електронної пошти, використання загальнодоступних додатків та вкрадених облікових даних.