Apple lança atualizações urgentes para consertar novo Zero-Day vinculado ao Spyware Pegasus

A Apple lançou o iOS 14.8, iPadOS 14.8 , watchOS 7.6.2 , macOS Big Sur 11.6 e Safari 14.1.2 para corrigir duas vulnerabilidades exploradas ativamente, uma das quais derrotou proteções de segurança extras integradas ao sistema operacional.

A lista de duas falhas é a seguinte –

• CVE-2021-30858 (WebKit) – Um problema de uso após livre que pode resultar na execução arbitrária de códigos durante o processamento de conteúdo da web criado com códigos maliciosos. A falha foi corrigida com um gerenciamento de memória aprimorado.
• CVE-2021-30860 (CoreGraphics) – Uma vulnerabilidade de estouro de número inteiro que pode levar à execução arbitrária de código ao processar um documento PDF criado com códigos maliciosos. O bug foi corrigido com validação de entrada aprimorada.

“A Apple está ciente de um relatório de que esse problema pode ter sido explorado ativamente”, observou a fabricante do iPhone em seu comunicado.

Além de ser acionado simplesmente pelo envio de uma mensagem maliciosa ao alvo, FORCEDENTRY também é notável pelo fato de prejudicar expressamente um novo recurso de segurança de software chamado BlastDoor, que a Apple incorporou ao iOS 14 para evitar intrusões de clique zero, filtrando dados não confiáveis ​​enviados pelo iMessage .

“Nossa última descoberta de mais um dia zero da Apple empregado como parte do arsenal do NSO Group ilustra ainda mais que empresas como o NSO Group estão facilitando o ‘despotismo como um serviço’ para agências de segurança governamentais que não prestam contas”, disseram pesquisadores do Citizen Lab .

“Os onipresentes aplicativos de bate-papo se tornaram um alvo principal para os mais sofisticados agentes de ameaças, incluindo operações de espionagem de estado-nação e as empresas de spyware mercenário que os atendem. Como atualmente projetados, muitos aplicativos de bate-papo se tornaram um alvo fácil irresistível”, acrescentaram.

O Citizen Lab disse que encontrou o malware nunca antes visto no telefone de um ativista saudita não identificado, com a cadeia de exploits começando quando as vítimas recebem uma mensagem de texto contendo uma imagem GIF maliciosa que, na realidade, são arquivos Adobe PSD (Photoshop Document files ) e arquivos PDF projetados para travar o componente iMessage responsável por renderizar imagens automaticamente e implantar a ferramenta de vigilância.

CVE-2021-30858, por outro lado, é o mais recente em uma série de falhas de dia zero do WebKit que a Apple corrigiu somente neste ano. Com este conjunto de atualizações mais recentes, a empresa corrigiu um total de 15 vulnerabilidades de dia zero desde o início de 2021.

Os usuários do Apple iPhone, iPad, Mac e Apple Watch são aconselhados a atualizar imediatamente seu software para mitigar quaisquer ameaças potenciais decorrentes da exploração ativa das falhas.

Fonte: https://thehackernews.com/