苹果已经修改了上个月发布的安全公告，包括三个影响iOS，iPadOS和macOS的新漏洞。
原文链接：https://thehackernews.com/2023/02/apple-warns-of-3-new-vulnerabilities.html
第一个缺陷是崩溃报告程序组件 （CVE-2023-23520） 中的争用条件，该条件可能使恶意参与者能够以根用户身份读取任意文件。这家iPhone制造商表示，它通过额外的验证解决了这个问题。
另外两个漏洞，归功于Trellix研究员Austin Emmitt，位于基金会框架（CVE-2023-23530和CVE-2023-23531）中，可以武器化以实现代码执行。
“应用程序可能能够在其沙箱之外执行任意代码或具有某些提升的权限，”苹果表示，并补充说它通过“改进的内存处理”修补了这些问题。
中到高严重性漏洞已在 2023 年 1 月 23 日发布的 iOS 16.3、iPadOS 16.3 和 macOS Ventura 13.2 中修补。
Trellix在周二的报告中将这两个漏洞归类为“允许绕过代码签名在多个平台应用程序的上下文中执行任意代码的新错误类别，导致macOS和iOS上的特权升级和沙盒逃逸。
这些漏洞还绕过了苹果公司为解决零点击漏洞而采取的缓解措施，例如以色列雇佣间谍软件供应商NSO Group利用FORCEDENTRY在目标设备上部署Pegasus。
因此，威胁参与者可以利用这些漏洞突破沙箱，并使用提升的权限执行恶意代码，从而可能授予对日历、地址簿、消息、位置数据、通话记录、摄像头、麦克风和照片的访问权限。
更令人不安的是，安全缺陷可能会被滥用来安装任意应用程序，甚至擦除设备。也就是说，利用这些漏洞需要攻击者已经获得了最初的立足点。
“上述漏洞代表了对macOS和iOS安全模型的重大破坏，该模型依赖于单个应用程序对所需资源的子集进行细粒度访问，并查询更高特权的服务以获取其他任何内容，”Emmitt说。
觉得这篇文章有趣吗？关注我们
LinkedIn阅读我们发布的更多独家内容。