Практически в каждом обновлении iOS и macOS компания Apple включает множество исправлений, направленных на устранение основных уязвимостей обеих систем. И выпущенные в январе — не стали исключением. Оба обновления включали исправления для длинного списка проблем, в том числе двух, которые были отмечены в отчёте компании Trellix.
Центр перспективных исследований Trellix обнаружил новый класс ошибок выполнения привилегий в iOS и macOS, с помощью которых можно проникнуть в сообщения, данные о местоположении, фотографии, историю звонков и так далее.
В сообщении в блоге, посвящённом обнаружению ошибки, Trellix объясняет, как можно обойти ограничения, введённые Apple для эксплойта FORCEDENTRY.
Trellix обнаружил первую уязвимость в процессе coreduetd, которая может быть использована для предоставления злоумышленнику доступа к календарю, адресной книге и фотографиям пользователя. Уязвимости в OSLogService и NSPredicate могли быть использованы для выполнения кода в Springboard, предоставляя злоумышленникам доступ к камере, микрофону, истории звонков и т.д.
Данные об этих уязвимостях были переданы в Apple, и компания устранила эксплойты в iOS 16.3 и macOS 13.2 Ventura. Trellix заявила, что благодарит Apple за быструю работу по устранению проблем.
Ещё по теме: