Apple heeft maandag beveiligingsupdates uitgebracht voor iOS, iPadOS, macOS, tvOS en Safari-webbrowser om een zero-day-fout aan te pakken die in het wild actief wordt uitgebuit.
Het probleem, bijgehouden als CVE-2024-23222, is een typeverwarringsbug die door een bedreigingsacteur kan worden uitgebuit om willekeurige code-uitvoering te bewerkstelligen bij het verwerken van kwaadwillig vervaardigde webinhoud. De technologiegigant zei dat het probleem was opgelost met verbeterde controles.
Typeverwarringskwetsbaarheden kunnen over het algemeen worden ingezet om geheugentoegang buiten het bereik uit te voeren, of tot een crash en het uitvoeren van willekeurige code te leiden.
Apple erkende in een beknopt advies dat het “op de hoogte was van een rapport dat dit probleem mogelijk is uitgebuit”, maar deelde geen andere details over de aard van de aanvallen of de dreigingsactoren die misbruik maken van de tekortkoming.
De updates zijn beschikbaar voor de volgende apparaten en besturingssystemen:
- iOS 17.3 en iPadOS 17.3 – iPhone XS en hoger, iPad Pro 12,9-inch 2e generatie en hoger, iPad Pro 10,5-inch, iPad Pro 11-inch 1e generatie en hoger, iPad Air 3e generatie en hoger, iPad 6e generatie en hoger, en iPad mini 5e generatie en later
- iOS 16.7.5 en iPadOS 16.7.5 – iPhone 8, iPhone 8 Plus, iPhone X, iPad 5e generatie, iPad Pro 9,7 inch en iPad Pro 12,9 inch 1e generatie
- macOS Sonoma 14.3 – Macs met macOS Sonoma
- macOS Ventura 13.6.4 – Macs met macOS Ventura
- macOS Monterey 12.7.3 – Macs met macOS Monterey
- tvOS 17.3 – Apple TV HD en Apple TV 4K (alle modellen)
- Safari 17.3 – Macs met macOS Monterey en macOS Ventura
De ontwikkeling markeert de eerste actief uitgebuit zero-day-kwetsbaarheid die dit jaar door Apple wordt gepatcht. Vorig jaar had de iPhone-maker twintig zero-days besproken die zijn gebruikt bij aanvallen in de echte wereld.
Daarnaast heeft Apple ook oplossingen voor CVE-2023-42916 en CVE-2023-42917 – patches waarvoor in december 2023 zijn uitgebracht – backported naar oudere apparaten –
- iOS 15.8.1 en iPadOS 15.8.1 – iPhone 6s (alle modellen), iPhone 7 (alle modellen), iPhone SE (1e generatie), iPad Air 2, iPad mini (4e generatie) en iPod touch (7e generatie)
De onthulling volgt ook op een rapport dat de Chinese autoriteiten hebben onthuld dat ze eerder bekende kwetsbaarheden in de AirDrop-functionaliteit van Apple hebben gebruikt om wetshandhavers te helpen afzenders van ongepaste inhoud te identificeren, met behulp van een techniek gebaseerd op regenboogtabellen.
