Apple phát hành bản vá khẩn cấp cho lỗ hổng 0-day trên các thiết bị Mac, iPhone và iPad

27/07/2021

Thứ hai vừa qua, Apple đã tung ra bản cập nhật bảo mật khẩn cấp cho các thiết bị iOS, iPadOS, và macOS để vá một lỗ hổng zero-day được cho là đã và đang bị khai thác thực tế. Đây là lỗ hổng zero-day thứ mười ba được Apple xử lý trong năm nay.

Các bản cập nhật được tung ra ngay sau khi Apple phát hành iOS 14.7, iPadOS 14.7 và macOS Big Sur 11.5 chưa đến một tuần. Nó khắc phục sự cố hỏng bộ nhớ (CVE-2021-30807) trong IOMobileFrameBuffer. Lỗi này có thể bị lạm dụng để thực thi mã tùy ý với quyền kernel.

Công ty cho biết vấn đề được giải quyết bằng cách cải thiện khả năng xử lý bộ nhớ và lưu ý "vấn đề này có thể đã được khai thác trong thực tế" đồng thời ghi nhận một nhà nghiên cứu ẩn danh đã phát hiện và báo cáo lỗ hổng bảo mật. Như thường lệ, các chi tiết về lỗ hổng sẽ không được tiết lộ để ngăn chặn việc kẻ xấu khai thác lỗ hổng sâu hơn.

Thời điểm cập nhật cũng đặt ra câu hỏi về việc liệu lỗ hổng này có bị khai thác bởi NSO Group's Pegasus software (được đề cập trong một loạt các báo cáo điều tra). Pegasus là công cụ phần mềm gián điệp biến điện thoại di động trở thành thiết bị giám sát di động, cho phép kẻ tấn công truy cập trái phép vào toàn bộ thông tin nhạy cảm được lưu trữ trong thiết bị.

Mã khai thác (PoC) cuả lỗ hổng hiện tại đã được công khai trên mạng, để giảm thiểu các rủi ro liên quan đến lỗ hổng người dùng nên nhanh chóng cập nhật thiết bị lên phiên bản mới nhất.