Apple е отстранила уязвимости, които са позволявали инсталиране на шпионски софтуер в iOS и macOS

Apple пусна актуализации за сигурност за iOS, iPadOS, macOS и watchOS, които затварят уязвимости от типа „нулев ден“, които могат да бъдат използвани за въвеждане на зловреден и шпионски софтуер чрез „злонамерено подготвено изображение“ или прикачен файл в друг формат.

Уязвимостите са затворени с актуализациите на Apple iOS 16.6.1, iPadOS 16.6.1, macOS 13.5.2 и watchOS 9.6.2. Нямаше актуализации за по-стари версии – iOS 15 и macOS 12.

Уязвимостите, означени като „CVE-2023-41064“ и „CVE-2023-41061“ бяха открити от Citizen Lab към Munk School of Global Affairs and Public Policy към Университета в Торонто – те получиха общото наименование BLASTPASS.

Софтуерните бъгове представляват доста сериозна заплаха: за атаката е достатъчно само да се изпрати специално изображение или прикачен файл в друг формат на потребителя чрез iMessage, който ще бъде изтеглен на устройството на жертвата – не са били необходими никакви допълнителни действия от страна на потребителя, за да се зарази устройството. Следователно такива уязвимости принадлежат към класа на уязвимостите с „zero-click/нулев клик“.

Citizen Lab добави, че уязвимостта BLASTPASS е използвана за инсталиране на шпионския софтуер Pegasus на NSO Group – израелският разработчик разполага с цял набор от експлойти за атака на устройства с iOS и Android. За да се предпази от подобни уязвимости, дори ако те все още не са открити и закърпени, Apple е въвела така наречения „Lockdown Mode“ в iOS и macOS – по-специално, той блокира много видове прикачени файлове и деактивира визуализирането на връзки, като по този начин предотвратява използването на подобни уязвимости.