*Lançamento de atualizações urgentes do Apple iOS e macOS para corrigir a exploração ativa de zero dias
Na quinta-feira, a Apple lançou atualizações de segurança para corrigir várias vulnerabilidades de segurança em versões mais antigas do iOS e macOS que, segundo ela, foram detectadas em exploits, além de expandir patches para uma falha de segurança previamente conectada e abusada pela ferramenta de vigilância Pegasus do Grupo NSO para atingir usuários do iPhone.
O principal deles é o CVE-2021-30869, uma falha de confusão de tipo que reside no componente do kernel XNU desenvolvido pela Apple que pode fazer com que um aplicativo malicioso execute código arbitrário com os maiores privilégios. A gigante da tecnologia com sede em Cupertino disse que corrigiu o bug com um gerenciamento de estado aprimorado.
O Grupo de Análise de Ameaças do Google, responsável por relatar a falha, disse que detectou a vulnerabilidade sendo "usada em conjunto com uma execução remota de código de N dias direcionados ao WebKit".
Duas outras falhas incluem CVE-2021-30858 e CVE-2021-30860 , ambos resolvidos pela empresa no início deste mês após a divulgação do Citizen Lab da Universidade de Toronto sobre um exploit anteriormente desconhecido chamado "FORCEDENTRY" (também conhecido como Megalodon) que pode infectar dispositivos Apple sem nem mesmo um clique.
Diz-se que o ataque remoto de clique zero como arma CVE-2021-30860 foi executado por um cliente da controversa empresa israelense NSO Group desde pelo menos fevereiro de 2021. A escala e o escopo da operação ainda não estão claros.
Ele se baseou no iMessage como um ponto de entrada para enviar código malicioso que instalou furtivamente o spyware Pegasus nos dispositivos e exfiltrar dados confidenciais sem avisar as vítimas. A exploração também é significativa por sua capacidade de contornar as defesas construídas pela Apple no iOS 14 - chamado BlastDoor - para evitar tais intrusões ao filtrar dados não confiáveis enviados pelo aplicativo de mensagens de texto.
Os patches estão disponíveis para dispositivos com macOS Catalina e iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 e iPod touch (6ª geração) com iOS 12.5.4.
O desenvolvimento também vem com os pesquisadores de segurança revelando falhas de dia zero não corrigidas no iOS, incluindo um bug de desvio de tela de bloqueio e um punhado de vulnerabilidades que podem ser abusadas por um aplicativo para obter acesso aos endereços de e-mail Apple ID e nomes completos dos usuários, verifique se um aplicativo específico for instalado no dispositivo, dado seu ID de pacote, e até mesmo recuperar informações de Wi-Fi sem a devida autorização.
O pesquisador illusionofchaos, que revelou as últimas três questões, disse que elas foram relatadas à Apple entre 10 de março e 4 de maio. De fato, um artigo do Washington Post publicado há duas semanas revelou como a empresa se encontra em uma "enorme carteira" de relatórios de vulnerabilidade, deixando-os não resolvido por meses, distribui pagamentos monetários mais baixos para caçadores de insetos e, em alguns casos, bane completamente os pesquisadores de seu Programa para Desenvolvedores de relatórios de arquivamento.
Achou esse artigo interessante? Siga canalfsociety em Instagram, Facebook, Telegram, Twitter, App Boletim Tec e App Mr Robot Sticker para ler mais conteúdo exclusivo que postamos.
Postar um comentário