Apple, biri kamuya açıklanmış ve diğeri vahşi ortamda saldırganlar tarafından iPhone'lara ve Mac'lere girmek için kullanılan iki sıfırıncı gün güvenlik açığını gidermek için güvenlik güncellemeleri yayınladı.
Bu hatanın başarılı bir şekilde kullanılması, güvenliği ihlal edilmiş cihazlarda çekirdek ayrıcalıklarıyla rastgele kod yürütülmesine yol açar.
Apple, sıfır gün hatasını açıklarken, "Apple, bu sorunun aktif olarak istismar edilmiş olabileceğine dair bir raporun farkında" dedi.
Etkilenen cihazların tam listesi şunları içerir:
- iPhone 6s ve üstü, iPad Pro (tüm modeller), iPad Air 2 ve üstü, iPad 5. nesil ve üstü, iPad mini 4 ve üstü ve iPod touch (7. nesil)
- macOS Monterey
Hata, MBition - Mercedes-Benz Innovation Lab'den anonim bir araştırmacı olan Meysam Firouzi (@R00tkitSMM) ve Siddharth Aeri (@b1n4r1b01) tarafından bulundu.
Firouzi ve Aeri, BleepingComputer'a her ikisinin de böceği bağımsız olarak bulduklarını ve tehdit aktörlerinin onu vahşi doğada istismar ettiğinden habersiz olduklarını söyledi.
İkinci sıfır gün, web sitelerinin göz atma etkinliğinizi ve kullanıcıların kimliklerini gerçek zamanlı olarak izlemesine izin veren iOS ve iPadOS'taki bir Safari WebKit hatasıdır.
Hata ilk olarak 28 Kasım 2021'de FingerprintJS'den Martin Bajanik tarafından Apple'a açıklandı ve 14 Ocak 2022'de kamuya açıklandı. Araştırmacı hatayı açıkladıktan sonra, CVE-2022-22594 olarak atandı ve bugünkü iOS 15.3'te düzeltildi ve iPadOS 15.3 güvenlik güncellemesi.
Bu hatalar, 2022'de Apple tarafından düzeltilen ilk sıfırıncı gün güvenlik açıklarıdır.
Bununla birlikte, Apple, 2021'de iOS ve macOS cihazlarına yönelik saldırılarda kullanılan hiç bitmeyen sıfır gün hataları akışını düzeltti.
Bu hatalar, Pegasus casus yazılımını gazetecilerin, aktivistlerin ve politikacıların iPhone'larına yüklemek için kullanılan çok sayıda sıfır gün güvenlik açığını içeriyordu.
Siber dünyadaki gelişmelerden haberdar olmak ve haftalık haber bültenine ulaşmak için e-posta listesine kaydolun.