Apple แก้ไขช่องโหว่ Zero-day ใหม่ 3 รายการที่กำลังถูกใช้ในการโจมตีเพื่อเจาะเข้า iPhone, Mac และ iPad [EndUser]

ช่องโหว่ทั้งหมดถูกพบใน WebKit browser หลายแพลตฟอร์ม และมีหมายเลข CVE-2023-32409, CVE-2023-28204 และ CVE-2023-32373

ช่องโหว่แรกคือ Sandbox Escape ที่ทำให้ผู้โจมตีจากภายนอกสามารถเจาะผ่าน Sandbox ได้ ส่วนอีก 2 รายการเป็นช่องโหว่ out-of-bounds read ที่ทำให้ผู้โจมตีเข้าถึงข้อมูลที่มีความสำคัญได้ และช่องโหว่ use-after-free ที่สามารถเรียกใช้โค้ดที่เป็นอันตรายบนเครื่องเหยื่อได้โดยไม่ได้รับอนุญาต ภายหลังจากเหยื่อเข้าถึงหน้าเว็บไซต์ที่ผู้ไม่หวังดีออกแบบมาเป็นพิเศษ

Apple แก้ไขช่องโหว่ Zero-day ทั้ง 3 รายการ ใน macOS Ventura 13.4, iOS และ iPadOS 16.5, tvOS 16.5, watchOS 9.5 และ Safari 16.5 ด้วยการปรับปรุงขั้นตอนการตรวจสอบต่าง ๆ เช่น input validation และ memory management

รายการอุปกรณ์ที่ได้รับผลกระทบมีค่อนข้างมาก เนื่องจากช่องโหว่ส่งผลกระทบทั้งรุ่นเก่า และรุ่นใหม่กว่า ดังนี้

  • iPhone 6s (ทุกรุ่น), iPhone 7 (ทุกรุ่น), iPhone SE (รุ่นที่ 1), iPad Air 2, iPad mini (รุ่นที่ 4), iPod touch (รุ่นที่ 7) และ iPhone 8 และใหม่กว่า
  • iPad Pro (ทุกรุ่น), iPad Air รุ่นที่ 3 และใหม่กว่า, iPad รุ่นที่ 5 และใหม่กว่า และ iPad mini รุ่นที่ 5 และใหม่กว่า
  • Mac ที่ใช้ macOS Big Sur, Monterey และ Ventura
  • Apple Watch Series 4 ขึ้นไป
  • Apple TV 4K (ทุกรุ่น) และ Apple TV HD

Apple ยังระบุว่า CVE-2023-28204 และ CVE-2023-32373 (ถูกรายงานโดยนักวิจัยที่ไม่ระบุชื่อ) ถูกแก้ไขไปแล้วครั้งหนึ่งด้วยแพตช์ Rapid Security Response (RSR) สำหรับอุปกรณ์ iOS 16.4.1 และ macOS 13.3.1 ที่ออกมาเมื่อวันที่ 1 พฤษภาคม ที่ผ่านมา

ทาง BleepingComputer ได้มีการติดต่อไปยังโฆษกของ Apple เพื่อขอรายละเอียดเพิ่มเติมเกี่ยวกับช่องโหว่ที่ได้รับการแก้ไข ที่มีการอัปเดต RSR ในเดือนพฤษภาคม แต่ยังไม่ได้รับการตอบกลับ

Apple แพตช์ Zero-day แล้วหกรายการตั้งแต่ต้นปี 2023

Apple มีข้อมูลว่า Zero-day ทั้ง 3 รายการเป็นช่องโหว่ที่กำลังถูกนำมาใช้ในการโจมตี แต่ Apple ยังไม่ได้เปิดเผยข้อมูลเพิ่มเติมที่เกี่ยวข้องกับการโจมตีเหล่านี้

อย่างไรก็ตาม มีการเปิดเผยว่า CVE-2023-32409 ซึ่งถูกรายงานโดย Clément Lecigne จาก Threat Analysis Group ของ Google และ Donncha Ó Cearbhaill จาก Security Lab ของ Amnesty International มาจากการพบแคมเปญที่ได้รับการสนับสนุนจากรัฐ ที่ใช้ประโยชน์จากช่องโหว่ Zero-day ดังกล่าวเพื่อติดตั้ง spyware ในสมาร์ทโฟน และคอมพิวเตอร์ของนักการเมือง หรือนักข่าว เป็นต้น

ในเดือนเมษายน Apple ได้มีการแก้ไขช่องโหว่ Zero-days อีก 2 รายการ (CVE-2023-28206 และ CVE-2023-28205) หนึ่งในนั้นคือช่องโหว่ที่เกี่ยวข้องกันทั้งใน Android, iOS และ Chrome เพื่อติดตั้ง spyware บนอุปกรณ์ของเป้าหมายที่มีความเสี่ยงสูงทั่วโลก

ในเดือนกุมภาพันธ์ Apple ได้จัดการกับ WebKit Zero-day (CVE-2023-23529) อีก 1 รายการที่ถูกโจมตีเพื่อเรียกใช้งานโค้ดบน iPhone, iPad และ Mac ที่มีช่องโหว่

ที่มา : bleepingcomputer