Выпустив сегодня iOS 16.5.1, macOS 13.4.1 и другие, Apple выпустила два важных исправления для недостатков безопасности. Обновления поступают для устройств с последним общедоступным программным обеспечением и для устройств с более старыми версиями своего программного обеспечения. Примечательно, что Apple слышала, что недостатки активно использовались.
Основная функция, с которой сталкивается пользователь в iOS 16.5.1, — это исправление ошибки с адаптером камеры Lightning to USB.
Однако почти для всех устройств Apple, включая iPhone 6 и более поздние версии, современные iPad и Mac и даже Apple Watch, есть два важных исправления безопасности, которые поставляются с последними обновлениями.
Два исправления для эксплуатируемых уязвимостей безопасности
Первое исправление предназначено для уязвимости, позволяющей выполнять произвольный код с привилегиями ядра. И второе — это исправление уязвимости WebKit, которое не позволяет вредоносному веб-содержимому выполнять произвольный код.
Apple заявляет, что ей известны отчеты о том, что обе уязвимости активно используются, поэтому обязательно обновите свои устройства как можно скорее.
Вот мелкие детали:
ядро
Доступно для: iPhone 8 и новее, iPad Pro (все модели), iPad Air 3-го поколения и новее, iPad 5-го поколения и новее, iPad mini 5-го поколения и новее
Воздействие. Приложение может выполнять произвольный код с привилегиями ядра. Apple известно об отчете о том, что эта проблема могла активно использоваться в версиях iOS, выпущенных до iOS 15.7.
Описание. Целочисленное переполнение устранено путем улучшенной проверки ввода.
CVE-2023-32434: Георгий Кучерин (@kucher1n), Леонид Безвершенко (@bzvr_) и Борис Ларин (@oct0xor) из «Лаборатории Касперского».
Вебкит
Доступно для: iPhone 8 и новее, iPad Pro (все модели), iPad Air 3-го поколения и новее, iPad 5-го поколения и новее, iPad mini 5-го поколения и новее
Воздействие. Обработка вредоносного веб-содержимого может привести к выполнению произвольного кода. Apple известно об отчете о том, что эта проблема могла активно использоваться.
Описание. Проблема с путаницей типов устранена путем улучшенных проверок.
Ошибка WebKit: 256567
CVE-2023-32439: анонимный исследователь
