Apple исправила уязвимость нулевого дня WebKit на старых iPhone

Apple выпустила обновления для устранения активно эксплуатируемой уязвимости нулевого дня в старых iPhone и iPad.

Уязвимость (CVE-2023-23529) представляет собой проблему путаницы типов (Type Confusion) в движке браузера WebKit, которую компания исправила на новых устройствах iPhone и iPad 13 февраля 2023 года.

Потенциальные злоумышленники могут использовать её, чтобы вызвать сбои ОС и запустить код на скомпрометированных устройствах. Для этого нужно путём фишинга заставить жертв открыть вредоносные веб-страницы (ошибке подвержены Safari 16.3.1 на macOS Big Sur и Monterey).

Apple исправила уязвимость нулевого дня в iOS 15.7.4 и iPadOS 15.7.4.

В список затронутых устройств входят устройства iPhone 6s (все модели), iPhone 7 (все модели), iPhone SE (1-го поколения), iPad Air 2, iPad mini (4-го поколения) и iPod touch (7-го поколения).

Пока Apple не публиковала информацию об эксплуатации уязвимости. Вероятно, компания сделает это позднее, когда пользователи обновят свои устройства.

В январе Apple также выпустила исправления удалённо эксплуатируемой уязвимости нулевого дня для старых iPhone и iPad.

В августе 2022 года компания закрыла две критические уязвимости, которые позволяли хакерам получить контроль над устройством и устанавливать вредоносные программы. Обновления безопасности вышли для iOS 15.6.1, iPadOS 15.6.1 и macOS Monterey 12.5.1, включая исправления в ядре операционной системы и движке WebKit.

В сентябре исследователи выяснили, что в даркнете продают эксплойт новой уязвимости нулевого дня для iOS- и MacOS-устройств, который строится на недавно исправленной CVE-2022-32893.