کمیته رکن چهارم – اپل سه آسیب‌پذیری خود که توسط جاسوس‌افزار پگاسوس از آن‌ها سوءاستفاده شده بود، وصله کرد.
اپل وصله‌هایی امنیتی برای سه آسیب‌پذیری روز صفر (CVE-2023-32434، CVE-2023-32435، CVE-2023-32439) منتشر کرده است که مورد سوءاستفاده قرار گرفته بودند.
دو مورد اول توسط محققان کسپرسکی، گئورگی کوچرین، لئونید بزورشنکو و بوریس لارین پس از کشف بارگذاری جاسوس‌افزار iOS که TriangleDB نامیده می‌شوند، گزارش شده‌اند و مورد سوم توسط یک محقق ناشناس کشف شده است.
CVE-2023-32439 یک مشکل سردرگمی نوع در موتور مرورگر WebKit است که می‌تواند توسط دستگاه آسیب‌پذیری که محتوای وب ساخته شده به طور مخرب را پردازش می‌کند، ایجاد شود و ممکن است منجر به اجرای کد دلخواه شود.
شرکت اپل در بیانیه‌ای اعلام کرد: «اپل از گزارشی مبنی بر اینکه ممکن است این موضوع به طور فعال مورد سوءاستفاده قرار گرفته باشد، آگاه است.» با این حال جزئیات بیشتری در مورد این حمله ارائه نکرد.
CVE-2023-32434 یک آسیب‌پذیری سرریز اعداد صحیح است که بر هسته تأثیر می‌گذارد و به برنامه اجازه می‌دهد کد دلخواه را با امتیازات هسته اجرا کند.
CVE-2023-32435 یک مشکل خرابی حافظه در WebKit است که می‌تواند منجر به اجرای کد از راه دور شود.
اپل با اشاره به یافته‌های کسپرسکی می‌گوید که دو آسیب‌پذیری ممکن است به طور فعال در برابر نسخه‌های iOS منتشر شده قبل از iOS 15.7 مورد سوءاستفاده قرار گرفته باشند.
دستگاه‌های اپل خود را آپدیت کنید
کاربران دستگاه‌های اپل باید هرچه زودتر نسبت به به‌روزرسانی سیستم عامل خود اقدام کنند.
آخرین ورژن سیستم عامل‌های اپل که امن هستند به شرح زیر است:
- iOS و iPadOS تا نسخه‌های ۱۶٫۵٫۱ و ۱۵٫۷٫۷
- macOS تا نسخه‌های ۱۳٫۴٫۱، ۱۲٫۶٫۷ و ۱۱٫۷٫۸
- مرورگر سافاری تا نسخه‌های ۱۶٫۵٫۱
- WatchOS تا نسخه‌های ۹٫۵٫۲ و ۸٫۸٫۱
بعید است که TriangleDB به طور گسترده در دستگاه‌های اپل مستقر شده باشد، اما اگر مشکوک هستید که یکی از کسانی هستید که ممکن است مورد هدف قرار گرفته باشد، می‌توانید از ابزار triangle_check ارائه شده توسط کسپرسکی برای آزمایش نسخه پشتیبان دستگاه تلفن همراه خود برای شواهدی مبنی بر سوءاستفاده بهره ببرید.
گفتنی است، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) به توسعه‌دهندگان هشدار داده بود که آن‌ها تا ۱۴ جولای فرصت دارند تا آسیب‌پذیری‌های نرم‌افزارهایشان را اصلاح و در دسترس عموم قرار دهند. این سه آسیب‌پذیری در فهرست کاتالوگ آسیب‌پذیری‌های این آژانس قرار گرفته‌اند.
منبع: افتانا
