A Apple corrigiu na segunda-feira uma vulnerabilidade de Zero Day em seus sistemas operacionais iOS, iPadOS e macOS, apenas uma semana depois de emitir um conjunto de atualizações do sistema operacional abordando cerca de três dúzias de outras falhas.
O bug, CVE-2021-30807, foi encontrado no código do IOMobileFrameBuffer, uma extensão que pode ser explorada para executar códigos maliciosos no dispositivo afetado.
O CVE-2021-30807, creditado a um pesquisador anônimo, foi abordado por um código de manuseio de memória não revelado, mas supostamente melhorado.
“Um aplicativo pode ser capaz de executar código arbitrário com privilégios de kernel”, disse o criador do iDevice. “A Apple está ciente de um relatório de que essa questão pode ter sido ativamente explorada.
A Apple, no entanto, não disse quem poderia estar envolvido na exploração desse bug. Nem a empresa respondeu a uma pergunta sobre se o bug foi explorado pelo software de vigilância Pegasus do Grupo NSO.
Na semana passada, a Anistia Internacional e o grupo de defesa da mídia Forbidden Stories publicaram uma série de artigos chamados Pegasus Project detalhando como o software da NSO tem sido usado para espionar políticos, jornalistas e ativistas políticos.
Os grupos disseram que encontraram evidências de que “ataques de clique zero de pegaso foram usados para instalar spyware em iPhones”. Especificamente, eles disseram que o software foi usado para atacar o iMessage no iPhone 11 e 12.
Logo após a publicação do aviso da Apple, o código de exploração PoC foi postado via Twitter:
De acordo com o site The Record, a atualização de ontem marcou o 13º update da companhia para corrigir brechas zero-day neste ano
| CVE | Patch date | Description |
|---|---|---|
| CVE-2021-1782 | February 1 | A zero-day impacting the macOS, iOS, iPadOS, watchOS, and tvOS kernels. |
| CVE-2021-1870 | February 1 | WebKit zero-day impacting macOS, iOS, iPadOS, and watchOS |
| CVE-2021-1871 | February 1 | WebKit zero-day impacting macOS, iOS, iPadOS, and watchOS |
| CVE-2021-1879 | March 26 | WebKit bug impacting both old and new-gen iOS, iPadOS, and watchOS |
| CVE-2021-30657 | April 26 | macOS Gatekeeper bypass abused by Shlayer malware |
| CVE-2021-30661 | April 26 | WebKit zero-day impacting old and new-gen iOS, iPadOS, watchOS, and tvOS. |
| CVE-2021-30663 | May 3 | WebKit zero-day impacting macOS, iOS, iPadOS, and watchOS |
| CVE-2021-30665 | May 3 | WebKit zero-day impacting macOS, iOS, iPadOS, and watchOS |
| CVE-2021-30666 | May 3 | WebKit zero-day impacting macOS, iOS, iPadOS, and watchOS |
| CVE-2021-30713 | May 24 | macOS TCC bypass abused by XCSSET malware |
| CVE-2021-30761 | June 14 | WebKit zero-day impacting old-gen iOS devices |
| CVE-2021-30762 | June 14 | WebKit zero-day impacting old-gen iOS devices |
Não esqueça de manter seu telefone sempre atualizado.