Apple phát hành bản vá lỗi khẩn cấp cho 2 lỗ hổng bảo mật Zero-Day đang bị khai thác

Bản cập nhật mới nhất, iOS 12.5.4, đi kèm với các bản sửa lỗi cho ba lỗi bảo mật, bao gồm vấn đề hỏng bộ nhớ trong bộ giải mã ASN.1 (CVE-2021-30737) và hai lỗ hổng liên quan đến công cụ trình duyệt WebKit có thể bị lạm dụng để đạt được mã từ xa chấp hành.

CVE-2021-30761 - Một vấn đề hỏng bộ nhớ có thể bị lợi dụng để thực thi mã tùy ý khi xử lý nội dung web được chế tạo độc hại. Lỗ hổng đã được giải quyết bằng cách cải thiện quản lý nhà nước.

CVE-2021-30762 - Một vấn đề miễn phí sử dụng có thể bị lợi dụng để thực thi mã tùy ý khi xử lý nội dung web được tạo thủ công độc hại. Lỗ hổng đã được giải quyết với việc cải thiện quản lý bộ nhớ.

Cả CVE-2021-30761 và CVE-2021-30762 đều được báo cáo ẩn danh cho Apple, với công ty có trụ sở tại Cupertino tuyên bố trong lời khuyên của mình rằng họ biết các báo cáo rằng các lỗ hổng "có thể đã bị khai thác tích cực". Như thường lệ, Apple không chia sẻ bất kỳ chi tiết cụ thể nào về bản chất của các cuộc tấn công, các nạn nhân có thể đã được nhắm mục tiêu hoặc các tác nhân đe dọa có thể đang lạm dụng chúng.

Tuy nhiên, một điều hiển nhiên là các nỗ lực khai thác tích cực nhắm vào chủ sở hữu của các thiết bị cũ hơn như iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 và iPod touch (thế hệ thứ 6). Động thái này phản ánh một bản sửa lỗi tương tự mà Apple đã tung ra vào ngày 3 tháng 5 để khắc phục lỗ hổng tràn bộ đệm (CVE-2021-30666) trong WebKit nhắm mục tiêu cùng một bộ thiết bị.

Cùng với hai lỗ hổng nói trên, Apple đã vá tổng cộng 12 ngày không ảnh hưởng đến iOS, iPadOS, macOS, tvOS và watchOS kể từ đầu năm -

CVE-2021-1782 (Kernel) - Một ứng dụng độc hại có thể nâng cao đặc quyền

CVE-2021-1870 (WebKit) - Kẻ tấn công từ xa có thể gây ra việc thực thi mã tùy ý

CVE-2021-1871 (WebKit) - Kẻ tấn công từ xa có thể gây ra việc thực thi mã tùy ý

CVE-2021-1879 (WebKit) - Xử lý nội dung web được chế tạo độc hại có thể dẫn đến tập lệnh trên nhiều trang web phổ biến

CVE-2021-30657 (Tùy chọn hệ thống) - Một ứng dụng độc hại có thể vượt qua kiểm tra của Gatekeeper

CVE-2021-30661 (WebKit Storage) - Xử lý nội dung web được tạo thủ công có thể dẫn đến việc thực thi mã tùy ý

CVE-2021-30663 (WebKit) - Xử lý nội dung web được tạo độc hại có thể dẫn đến việc thực thi mã tùy ý

CVE-2021-30665 (WebKit) - Xử lý nội dung web được tạo độc hại có thể dẫn đến việc thực thi mã tùy ý

CVE-2021-30666 (WebKit) - Việc xử lý nội dung web được chế tạo độc hại có thể dẫn đến việc thực thi mã tùy ý

CVE-2021-30713 (khung TCC) - Một ứng dụng độc hại có thể bỏ qua các tùy chọn Quyền riêng tư

Người dùng các thiết bị của Apple được khuyến nghị cập nhật lên phiên bản mới nhất để giảm thiểu rủi ro liên quan đến các lỗ hổng bảo mật.

Hương – Theo TheHackerNews