Практически в каждом обновлении iOS и macOS компания Apple включает множество исправлений, направленных на устранение основных уязвимостей обеих систем. И выпущенные в январе — не стали исключением. Оба обновления включали исправления для длинного списка проблем, в том числе двух, которые были отмечены в отчёте компании Trellix.

Центр перспективных исследований Trellix обнаружил новый класс ошибок выполнения привилегий в iOS и macOS, с помощью которых можно проникнуть в сообщения, данные о местоположении, фотографии, историю звонков и так далее.

В сообщении в блоге, посвящённом обнаружению ошибки, Trellix объясняет, как можно обойти ограничения, введённые Apple для эксплойта FORCEDENTRY.

Trellix обнаружил первую уязвимость в процессе coreduetd, которая может быть использована для предоставления злоумышленнику доступа к календарю, адресной книге и фотографиям пользователя. Уязвимости в OSLogService и NSPredicate могли быть использованы для выполнения кода в Springboard, предоставляя злоумышленникам доступ к камере, микрофону, истории звонков и т.д.

Данные об этих уязвимостях были переданы в Apple, и компания устранила эксплойты в iOS 16.3 и macOS 13.2 Ventura. Trellix заявила, что благодарит Apple за быструю работу по устранению проблем.


Ещё по теме: