Apple telah merilis pembaruan keamanan darurat untuk mengatasi dua kerentanan zero-day baru yang dieksploitasi dalam serangan untuk mengkompromikan iPhone, Mac, dan iPad.
“Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif,” kata perusahaan tersebut saat menjelaskan masalah tersebut dalam penasihat keamanan yang diterbitkan pada hari Jumat.
Cacat keamanan pertama (dilacak sebagai CVE-2023-28206) adalah penulisan di luar batas IOSurfaceAccelerator yang dapat menyebabkan kerusakan data, kerusakan, atau eksekusi kode.
Eksploitasi yang berhasil memungkinkan penyerang menggunakan aplikasi perusak yang berbahaya untuk mengeksekusi kode arbitrer dengan hak istimewa kernel pada perangkat yang ditargetkan.
Zero-day kedua (CVE-2023-28205) adalah penggunaan WebKit setelah kelemahan gratis yang memungkinkan korupsi data atau eksekusi kode arbitrer saat menggunakan kembali memori yang dibebaskan.
Cacat ini dapat dieksploitasi dengan mengelabui target agar memuat halaman web berbahaya di bawah kendali penyerang, yang dapat menyebabkan eksekusi kode pada sistem yang disusupi.
Dua kerentanan zero-day telah diatasi di iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1, dan Safari 16.4.1 dengan validasi input dan manajemen memori yang ditingkatkan.
Apple mengatakan daftar perangkat yang terpengaruh cukup luas, dan itu termasuk:
- iPhone 8 dan yang lebih baru,
- iPad Pro (semua model),
- iPad Air generasi ke-3 dan lebih baru,
- iPad generasi ke-5 dan lebih baru,
- iPad mini generasi ke-5 dan lebih baru,
- dan Mac yang menjalankan macOS Ventura.
Selengkapnya: Bleeping Computer
