Apple phát hành bản vá bảo mật khẩn cấp cho lỗ hổng Zero-Day đang bị tấn công

Vào thứ Hai này, Apple đã phát hành một bản vá bảo mật khẩn cấp dành cho hệ điều hành iOS, macOS và watchOS để giải quyết ba lỗ hổng bảo mật Zero-Day và mở rộng bản vá cho lỗ hổng thứ tư mà công ty cho biết là có thể đang bị khai thác ngoài thị trường.

Tất cả các lỗ hổng này đều liên quan đến WebKit, một công cụ trình duyệt hỗ trợ Safari và các trình duyệt web của bên thứ ba khác trong iOS, cho phép kẻ thù thực thi mã tùy ý trên thiết b ị mục tiêu. Thông tin tổng hợp về 3 lỗi bảo mật như sau:

CVE-2021-30663: Lỗ hổng tràn số nguyên có thể bị khai thác để tạo nội dung web độc hại, có thể dẫn đến việc thực thi mã. Lỗ hổng đã được giải quyết với xác thực đầu vào được cải thiện.

CVE-2021-30665: Sự cố hỏng bộ nhớ có thể bị lợi dụng để tạo ra nội dung web độc hại, có thể dẫn đến việc thực thi mã. Lỗ hổng đã được giải quyết bằng cách cải thiện quản lý nhà nước.

CVE-2021-30666: Lỗ hổng tràn bộ đệm có thể bị khai thác để tạo nội dung web độc hại, có thể dẫn đến việc thực thi mã. Lỗ hổng đã được giải quyết bằng cách xử lý bộ nhớ được cải thiện.

Sự phát triển diễn ra một tuần sau khi Apple tung ra iOS 14.5 và macOS Big Sur 11.3 với bản sửa lỗi cho lỗ hổng WebKit Storage có khả năng bị khai thác. Được theo dõi là CVE-2021-30661, một nhà nghiên cứu bảo mật có tên là yangkang (@dnpushme) của Qihoo 360 ATA đã phát hiện ra và báo cáo vấn đề sử dụng.

Cần lưu ý rằng CVE-2021-30666 chỉ ảnh hưởng đến các thiết bị Apple cũ hơn như iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 và iPod touch (thế hệ thứ 6). Bản cập nhật iOS 12.5.3, khắc phục lỗ hổng này, cũng bao gồm bản sửa lỗi cho CVE-2021-30661.

Công ty cho biết họ biết về các báo cáo rằng các vấn đề "có thể đã được khai thác tích cực" nhưng, như thường lệ, đã không trình bày chi tiết về bản chất của các cuộc tấn công, các nạn nhân có thể đã được nhắm mục tiêu hoặc các tác nhân đe dọa có thể đang lạm dụng chúng.

Người dùng các thiết bị của Apple được khuyến nghị cập nhật lên phiên bản mới nhất để giảm thiểu rủi ro liên quan đến lỗi.

Cập nhật: Apple cũng đã phát hành phiên bản Safari 14.1 mới cho macOS Catalina và macOS Mojave, với bản cập nhật giới thiệu các bản sửa lỗi cho hai lỗi WebKit CVE-2021-30663 và CVE-2021-30665. Bản cập nhật được đưa ra một ngày sau khi các bản vá được xuất xưởng cho iOS, macOS và watchOS.

Hương – Theo TheHackerNews