Af Eskil Sørensen, 22/06/23
Apple har udsendt en opdatering, der adresserer tre nye 0-dagssårbarheder. Sårbarhederne er blevet udnyttet i angreb til installation af ’Triangulation’-spyware på iPhones. Udnyttelse kan ske via iMessage, uden at det kræver interaktion med brugerne, dvs som såkaldte zero-click exploits. Det skriver en række medier.
Apple skriver i forbindelse med opdateringen, at man er opmærksom på en rapport om, at dette problem kan være blevet aktivt udnyttet mod versioner af iOS udgivet før iOS 15.7.
Sårbarhederne har id’erne CVE-2023-32434 og CVE-2023-32435 og begge en CVSS-score på 7,1 ifølge Vulners.com. Sårbarhederne og befinder sig i Kernel og Webkit.
Apple har deruover også udsendt opdateringer til en lang række andre produkter herunder Safari, iPad, iPhone 6, 7, 8, SE, iPod, macOS Ventura, macOS Monterey, madOS Big Sur og watchOS. Den samlede liste over produkter kan findes på https://support.apple.com/en-us/HT201222.
Links:
https://www.bleepingcomputer.com/news/apple/apple-fixes-zero-days-used-to-deploy-triangulation-spyware-via-imessage/
https://therecord.media/apple-patch-zero-days-exploited-in-spyware-campaign
https://cyberscoop.com/apple-security-patch-kaspersky-russia-spyware/
https://www.securityweek.com/apple-patches-ios-flaws-used-in-kaspersky-operation-triangulation/
https://www.theregister.com/2023/06/21/apple_patches_triangledb_spyware/
https://nakedsecurity.sophos.com/2023/06/22/apple-patch-fixes-zero-day-kernel-hole-reported-by-kaspersky-update-now/
https://www.itnews.com.au/news/apple-rushes-out-patches-for-exploited-zero-day-bugs-597199