Apple กล่าวว่าได้แก้ไขช่องโหว่ CVE-2023-28205
Apple ได้ปล่อยการอัปเดตความปลอดภัยสำหรับ iOS, iPadOS, macOS และ เว็บเบราว์เซอร์ Safari เพื่อที่จะแก้ไขช่องโหว่ของ Zero Day 2 ตัว ที่กำลังถูกโจมตี โดยช่องโหว่ทั้ง 2 มีดังนี้
- CVE-2023-28205 ปัญหาการใช้งานฟรีใน WebKit ซึ่งอาจนำไปสู่การเข้าใช้รหัสโดยไม่ได้รับอนุญาต
- CVE-2023-28206 ปัญหาของการเขียนใน IOSurfaceAccelerator ที่สามารถเปิดใช้งานแอพเพื่อเรียกใช้รหัสโดยไม่ได้รับอนุญาตด้วยสิทธิ์ของเคอร์เนล
Apple กล่าวว่าได้แก้ไขช่องโหว่ CVE-2023-28205 ด้วยการจัดการหน่วยความจำที่ดีขึ้น และ
การตรวจสอบความถูกต้องของอินพุตที่ดีขึ้น อีกทั้งยังตระหนักว่าช่องโหว่เหล่านี้อาจถูกใช้ประโยชน์ รายละเอียดเกี่ยวกับช่องโหว่ทั้ง 2 จะถูกระงับเนื่องจากมีการใช้งานอยู่ และเพื่อป้องกันไม่ให้ผู้ไม่ประสงค์ดีใช้ช่องโหว่เหล่านี้ในทางที่ผิด การอัปเดตนี้จะมีให้ในเวอร์ชัน iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 และ Safari 16.4.1 ซึ่งการแก้ไขยังครอบคลุมอุปกรณ์หลากหลายประเภท ได้แก่ iPhone 8 และใหม่กว่า, iPad Pro (ทุกรุ่น), iPad Air รุ่นที่ 3 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า, iPad mini รุ่นที่ 5 และใหม่กว่า และ Mac ที่ใช้ macOS Big Sur, Monterey และ Ventura
Apple ได้อัปเดตแพตช์ที่เกี่ยวข่องกับช่องโหว่ Zero-day 3 ครั้งตั้งแต่ต้นปี ในเดือนกุมภาพันธ์ Apple
ได้จัดการกับช่องโหว่แบบ zero-day (CVE-2023-23529) ที่ใช้งานอยู่อีกครั้งใน WebKit ซึ่งอาจส่งผลให้เกิดการใช้รหัสโดยไม่ต้องใช้สิทธิ์การเข้าถึง การพัฒนายังเกิดขึ้นเนื่องจาก Google TAG เปิดเผยว่าผู้จำหน่าย
สปายแวร์เชิงพาณิชย์ใช้ประโยชน์จากช่องโหว่ Zero-day ใน Android และ iOS เพื่อแพร่ระบาดไปยังอุปกรณ์พกพาด้วยมัลแวร์เฝ้าระวัง
Ref : https://thehackernews.com/2023/04/apple-releases-updates-to-address-zero.html