Os patches de segurança mais recentes da Apple corrigem quatro vulnerabilidades que afetam iOS e iPadOS, incluindo dois dias zero que a Intel sugere que invasores já exploraram. Como é típico da Apple, ela mantém a maioria dos detalhes em segredo, contudo, as falhas têm o potencial de acessar dados no kernel protegido.
A gigante da tecnologia de consumo identificou o CVE-2024-23225 e disse que um invasor já precisaria ter recursos de leitura e gravação do kernel para contornar as proteções de memória do mesmo. O problema foi corrigido com validação aprimorada, afirma a Apple.
A história é semelhante com o CVE-2024-23296, o segundo dia zero divulgado na rodada de atualizações da empresa. Ele afeta o RTKit, o sistema operacional em tempo real da Apple que roda em vários dispositivos como AirPods, Apple Watch e outros, e a sua descrição é parecida com a do CVE-2024-23225. Ou seja, o invasor precisaria de recursos de leitura e gravação do kernel para explorá-lo, e isso também permitiria que ele contornasse as proteções de memória do kernel. Também foi corrigido com validação aprimorada, segundo a Apple.
Veja isso
Apple lança patches para barrar exploração de dia zero no WebKit
Apple lança patches de segurança urgentes para iOS e iPadOS
Apesar das afirmações da empresa, existem, entretanto, pequenas diferenças entre os dois CVEs. Na verdade, o CVE-2024-23225 também afeta dispositivos como o iPhone 8, iPhone X, iPad de 5ª geração, iPad Pro de 9,7 polegadas e iPad Pro de 12,9 polegadas de 1ª geração — dispositivos que não são mais suportados pelos lançamentos mais recentes do sistema operacional da Apple. Infelizmente, não há detalhes em termos de quais ataques os zero-days explorados estiveram envolvidos ou quão graves são as vulnerabilidades.
A Apple também reteve a atribuição da descoberta do dia zero, não revelando nada sobre se eles foram encontrados internamente ou relatados por terceiros. As versões 17.4 do iOS e iPadOS foram lançadas na segunda-feira, 5, e também trouxeram correções para duas outras vulnerabilidades aparentemente menores.
As análises e atualizações que corrigem os CVEs feitas pela Apple podem ser acessadas aqui.
