.
A Apple corrigiu na segunda-feira uma vulnerabilidade de dia zero de alta gravidade que dá aos invasores a capacidade de executar remotamente códigos maliciosos que são executados com os mais altos privilégios dentro do kernel do sistema operacional de iPhones e iPads totalmente atualizados.
Em um comunicado, a Apple disse que o CVE-2022-42827, à medida que a vulnerabilidade é rastreada, “pode ter sido ativamente explorada”, usando uma frase que é o jargão da indústria para indicar que uma vulnerabilidade anteriormente desconhecida está sendo explorada. A falha de corrupção de memória é o resultado de uma “gravação fora dos limites”, o que significa que o software da Apple estava colocando código ou dados fora de um buffer protegido. Os hackers geralmente exploram essas vulnerabilidades para que possam canalizar códigos maliciosos em regiões sensíveis de um sistema operacional e, em seguida, fazer com que ele seja executado.
A vulnerabilidade foi relatada por um “pesquisador anônimo”, disse a Apple, sem dar mais detalhes.
Esta planilha mantida por pesquisadores do Google mostrou que a Apple fixou sete dias zero até agora este ano, sem incluir o CVE-2022-42827. Contar este último traria o total de dia zero da Apple para 2022 para oito. A Bleeping Computer, no entanto, disse que o CVE-2022-42827 é o nono dia zero da Apple corrigido nos últimos 10 meses.
Zero-days são vulnerabilidades que são descobertas e vazadas ou exploradas ativamente antes que o fornecedor responsável tenha a chance de lançar um patch corrigindo a falha. Um único dia zero geralmente é vendido por US$ 1 milhão ou mais. Para proteger seu investimento, os invasores que têm acesso a zero-days normalmente trabalham para estados-nação ou outras organizações com grandes bolsos e exploram as vulnerabilidades em campanhas altamente direcionadas. Depois que o fornecedor descobre o dia zero, eles geralmente são corrigidos rapidamente, fazendo com que o valor da exploração despenque.
A economia torna altamente improvável que a maioria das pessoas tenha sido alvo dessa vulnerabilidade. Agora que um patch está disponível, no entanto, outros invasores terão a oportunidade de fazer engenharia reversa para criar seus próprios exploits para uso em dispositivos sem patch. Os usuários afetados, incluindo aqueles que usam iPhone 8 e posterior, iPad Pros, iPad Air 3ª geração e posterior, iPad 5ª geração e posterior e iPad mini 5ª geração e posterior, devem garantir que estejam executando o iOS 16.1 ou iPadOS 16.
Além do CVE-2022-42827, as atualizações corrigem 19 outras vulnerabilidades de segurança, incluindo duas no kernel, três no protocolo ponto a ponto, duas no WebKit e uma no AppleMobileFileIntegrity, no Core Bluetooth, no IOKit e neste sandbox do iOS.
.
