Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Una campagna di phishing sfrutta Microsoft 365 per compromettere gli account PayPal
Gli Stati Uniti cambiano opinione sulla crittografia e sulle backdoor
Le vulnerabilità dei dispositivi Moxa mettono a rischio le reti industriali
CERT-AGID 28 dicembre – 3 gennaio: Poste Italiane e Intesa Sanpaolo sotto attacco
Pubblicato un exploit che sfrutta una vulnerabilità di LDAP di Windows per causare un crash di sistema

Apple rilascia aggiornamenti per vulnerabilità zero-day già sfruttate

Giu 23, 2023 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

Mercoledì 21 giugno Apple ha rilasciato una serie di aggiornamenti di sicurezza per tre vulnerabilità zero-day che colpivano Safari, iOS, iPadOS, macOS e WatchOS.

Come riporta The Hacker News, due delle vulnerabilità identificate erano in uso dal 2019 nella campagna di attacchi ai dispositivi mobile Operation Triangulation.

Queste due vulnerabilità, identificate come CVE-2023-32434 e CVE-2023-32435, colpivano le versioni 15.7.7 di iOS e di iPadOS, la 8.81 di watchOS, le versione 16.5.1 di iOS e iPadOS, la 13.4.1 di macOS Ventura, la 12.6.7 di macOS Monterey, la 11.7.8 di macOS Big Sur e la 9.5.2 di watchOS.

La CVE-2023-32434 è stata la più diffusa tra i dispositivi e permetteva di eseguire codice arbitrario con privilegi di kernel, sfruttando un problema di integer overflow; similmente, la CVE-2023-32435 permetteva di eseguire codice arbitrario quando le applicazioni processavano contenuti web creati ad hoc, in questo caso sfruttando un problema di memory corruption.

Credits: Pixabay

Apple non ha rivelato ulteriori dettagli sulle caratteristiche e sugli impatti delle due vulnerabilità. L’azienda non esclude che i due bug potrebbero essere stati sfruttati per attaccare anche le versioni precedenti di iOS 15.7, ma non ci sono ancora evidenze in tal senso.

La terza vulnerabilità, la CVE-2023-32439, permetteva l’esecuzione di codice arbitrario durante il processamento di contenuti web malevoli, come la CVE-2023-32435. Quest’ultima vulnerabilità è stata individuata da un ricercatore rimasto anonimo e sfruttava un errore di type confusion.

Con le nuove patch Apple ha risolto un totale di nove vulnerabilità zero-day dall’inizio dell’anno. A febbraio e aprile l’azienda aveva risolto tre vulnerabilità che permettevano l’esecuzione di codice con privilegi elevati; in seguito, a maggio, Apple aveva rilasciato un nuovo aggiornamento per risolvere tre nuove vulnerabilità presenti in WebKit che permettevano a un attaccante di eludere la protezione della sandbox, accedere a dati sensibili ed eseguire codice.

Condividi l'articolo