Apple phát hành bản cập nhật khẩn cấp để vá các lỗ hổng Zero-Day đang bị khai thác tích cực
Apple đã phát hành bản cập nhật bảo mật cho iOS, iPadOS, macOS, visionOS và trình duyệt web Safari để giải quyết hai lỗ hổng zero-day đang bị khai thác rộng rãi.
Các lỗi được liệt kê dưới đây -
- CVE-2024-44308 - Lỗ hổng trong JavaScriptCore có thể dẫn đến việc thực thi mã tùy ý khi xử lý nội dung web độc hại
- CVE-2024-44309 - Lỗ hổng quản lý cookie trong WebKit có thể dẫn đến tấn công mã lệnh chéo trang (XSS) khi xử lý nội dung web độc hại
Nhà sản xuất iPhone cho biết họ đã giải quyết CVE-2024-44308 và CVE-2024-44309 bằng cách cải thiện các biện pháp kiểm tra và cải thiện quản lý trạng thái.
Người ta không biết nhiều về bản chất chính xác của vụ khai thác này, nhưng Apple đã thừa nhận rằng cặp lỗ hổng này "có thể đã bị khai thác tích cực trên các hệ thống Mac chạy bằng Intel".
Clément Lecigne và Benoît Sevens thuộc Nhóm phân tích mối đe dọa (TAG) của Google đã được ghi nhận là những người phát hiện và báo cáo hai lỗ hổng này, cho biết rằng chúng có khả năng đã được sử dụng như một phần của các cuộc tấn công bằng phần mềm gián điệp có mục tiêu rõ ràng do chính phủ hậu thuẫn hoặc do lính đánh thuê thực hiện.
Các bản cập nhật có sẵn cho các thiết bị và hệ điều hành sau -
- iOS 18.1.1 và iPadOS 18.1.1 - iPhone XS trở lên, iPad Pro 13 inch, iPad Pro 12,9 inch thế hệ thứ 3 trở lên, iPad Pro 11 inch thế hệ thứ 1 trở lên, iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 7 trở lên và iPad mini thế hệ thứ 5 trở lên
- iOS 17.7.2 và iPadOS 17.7.2 - iPhone XS trở lên, iPad Pro 13 inch, iPad Pro 12,9 inch thế hệ thứ 2 trở lên, iPad Pro 10,5 inch, iPad Pro 11 inch thế hệ thứ 1 trở lên, iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 6 trở lên và iPad mini thế hệ thứ 5 trở lên
- macOS Sequoia 15.1.1 - Máy Mac chạy macOS Sequoia
- visionOS 2.1.1 - Apple Vision Pro
- Safari 18.1.1 - Máy Mac chạy macOS Ventura và macOS Sonoma
Cho đến nay, Apple đã giải quyết tổng cộng bốn lỗi zero-day trong phần mềm của mình trong năm nay, bao gồm một lỗi ( CVE-2024-27834 ) đã được trình diễn tại cuộc thi hack Pwn2Own Vancouver. Ba lỗi còn lại đã được vá vào tháng 1 và tháng 3 năm 2024 .
Người dùng được khuyên nên cập nhật thiết bị của mình lên phiên bản mới nhất càng sớm càng tốt để bảo vệ khỏi các mối đe dọa tiềm ẩn.