Apple cảnh báo 3 lỗ hổng 0-day trong iOS đã bị khai thác trong thực tế

[DDos]

Apple vừa phát hành các bản cập nhật cho iOS, iPadOS và tvOS khắc phục ba lỗ hổng an ninh nghiêm trọng. Apple tin rằng những lỗ hổng này đã bị khai thác trong thực tế.

Theo báo cáo của một nhà nghiên cứu ẩn danh, ba lỗ hổng 0-day CVE-2021-1782, CVE-2021-1870 và CVE-2021-1871 cho phép kẻ tấn công nâng cao đặc quyền và thực hiện mã từ xa.

Apple không tiết lộ mức độ lan rộng của cuộc tấn công cũng như tiết lộ danh tính của các hacker đang tích cực khai thác các lỗ hổng này.

Lỗ hổng leo thang đặc quyền trong kernel (CVE-2021-1782) theo mô tả là lỗi race condition (tình trạng tranh chấp dữ liệu xảy ra khi có hai hay nhiều thread cùng chia sẻ, đọc dữ liệu) trong nhân, thông qua đó, kẻ tấn công có thể nâng cao đặc quyền của các ứng dụng độc hại.

Hai lỗ hổng (CVE-2021-1870 và CVE-2021-1871) theo mô tả là lỗi logic nằm trong công cụ kết xuất trình duyệt WebKit, cho phép tin tặc thực thi mã tùy ý trong trình duyệt Safari.

Apple cho biết lỗ hổng race condittion và WebKit đã được giải quyết bằng cách cải thiện khóa và bổ sung các hạn chế.

Các phân tích chi tiết về lỗ hổng và danh tính nhóm tin tặc khai thác lỗ hổng khó có thể được công khai cho đến khi các bản vá được áp dụng rộng rãi. Tuy nhiên, sẽ không có gì ngạc nhiên nếu những lỗ hổng này được sử dụng kết hợp với nhau để thực hiện các cuộc tấn có chủ đích nhắm vào các tổ chức, doanh nghiệp.

Tin tặc khai thác mục tiêu bằng cách nhúng mã độc hại vào các trang web bị xâm nhập và đánh lừa mục tiêu truy cập trang web, sau đó lợi dụng các lỗ hổng nói trên để nâng cao đặc quyền và chạy các lệnh tùy ý để chiếm quyền kiểm soát thiết bị.

Các bản cập nhật hiện có sẵn cho iPhone 6s trở lên, iPad Air 2 trở lên, iPad mini 4 trở lên và iPod touch (thế hệ thứ 7), cũng như Apple TV 4K và Apple TV HD.

Trước đó, Apple đã vá ba lỗ hổng được khai thác mạnh vào tháng 11 năm 2020 và một lỗi zero-day riêng biệt trong iOS 13.5.1 đã được tiết lộ khi được sử dụng trong một chiến dịch gián điệp mạng nhắm vào các nhà báo của Al Jazeera vào năm ngoái.

Theo: thehackernews​