У MacOS та iOS знайшли критичні вразливості - майже кожен власник гаджета ризикує безпекою

Спеціалісти з безпеки знову виявили серйозні вразливості у iOS і macOS. Користувачів закликали терміново оновити свої пристрої до iOS 16.4.1 і macOS 13.3.1, для старих версій оновлення також доступні.

За словами дослідників, серйозні баги вже активно експлуатуються зловмисниками. «Вразливості настільки неприємні, що для боротьби з ними в Apple вкрай оперативно випустили оновлення, причому не тільки для найсвіжіших операційних систем, а й для декількох попередніх версій», — пояснили кіберспеціалісти.

Всього було виявлено дві вразливості. Перша, що отримала назву CVE-2023−28 205 (рівень небезпеки «високий»: 8.8/10), стосується двигуна WebKit, який є основою багатьох браузерів, Safari зокрема. Суть цієї вразливості в тому, що, використовуючи спеціально створену шкідливу сторінку, можна виконати на пристрої довільний код.

Друга вразливість — CVE-2023−28 206 (рівень небезпеки «високий»: 8.6/10) — була знайдена в об'єкті IOSurfaceAccelerator. Її експлуатація дає можливість виконання коду із правами ядра операційної системи.

Обидві вразливості можуть використовуватися в парі: у цьому випадку перша служить для початкового проникнення у пристрій та експлуатації другої вразливості. А друга, своєю чергою, дозволяє «втекти з пісочниці» і робити із зараженим пристроєм практично будь-що.

Вразливості стосуються як настільних операційних систем macOS, так і мобільних: iOS, iPadOS та tvOS. Вразливі не тільки нові покоління цих ОС, а й попередні, тому Apple поетапно випустила оновлення для цілого ряду систем: macOS 11, 12 і 13, iOS/iPadOS 15 і 16, а також для tvOS 16.

Нагадаємо — декілька днів тому стало відомо, що хакерське угруповання LockBit, скандально відоме своїми вірусами-вимагачами, створило перше шкідливе програмне забезпечення для комп’ютерів Apple. Збірка вірусу для Mac отримала назву «locker_Apple_M164». Початкові методи атак LockBit включають соціальну інженерію: фішинг, компрометацію ділової електронної пошти, використання загальнодоступних додатків та вкрадених облікових даних.