O que acabou de acontecer? O Grupo de Análise de Ameaças do Google descobriu duas vulnerabilidades de dia zero exploradas ativamente nos sistemas operacionais da Apple. A Apple lançou rapidamente atualizações críticas de segurança para iOS 17, iPadOS 17, macOS Sonoma e Safari, resolvendo o problema. Se não forem corrigidas, as vulnerabilidades poderão revelar informações confidenciais e permitir a execução arbitrária de códigos.
Proprietários de iPhones, iPads e Macs devem atualizar seus sistemas operacionais o mais rápido possível. O patch mais recente contém uma atualização crítica de segurança para duas vulnerabilidades que os hackers estão explorando atualmente. Ambas as questões dizem respeito a como o WebKit lê a memória. WebKit é o mecanismo de navegador que sustenta o Safari e outros aplicativos essenciais da Apple.
A primeira (CVE-2023-42916) é uma vulnerabilidade de leitura fora dos limites que permite a leitura de informações da RAM além dos limites de um array. A falha pode fazer com que o WebKit revele dados confidenciais durante o processamento de conteúdo da web. O segundo problema (CVE-2023-42917) é uma vulnerabilidade de corrupção de memória, que a Apple resolveu com bloqueio aprimorado. A falha de segurança pode permitir a execução arbitrária de código ao ler conteúdo da web.
Embora os engenheiros da Apple incluíssem o patch no iOS 17.1.2, iPadOS 17.1.2 e macOS Sonoma 14.1.2, a Apple recebeu relatos de que hackers exploraram as mesmas falhas em versões anteriores a 16.7.1. Google e Apple não identificaram os atores maliciosos.
Além disso, embora a atualização do macOS seja direcionada a Sonoma, os usuários de Monterey e Ventura devem instalar uma atualização para Safari que resolva os problemas. As atualizações móveis afetam iPhones desde o XS, iPad Pro de 12,9 polegadas de 2ª geração e mais recente, todos os iPad Pros de 10,5 e 11 polegadas, iPad Air de 3ª geração ou posterior, iPad mini de 5ª e 6ª geração e todos iPads desde a 6ª geração.
O Grupo de Análise de Ameaças do Google tem estado bastante ocupado ultimamente, pois este é o segundo conjunto de vulnerabilidades significativas que expôs esta semana. A empresa lançou recentemente uma atualização para o Chrome que corrigiu diversas falhas de segurança.
Uma das vulnerabilidades do Chrome (CVE-2023-6350) é um problema de leitura fora dos limites semelhante ao que afeta os sistemas da Apple, que afeta o processamento de arquivos avif. Outros problemas que a atualização abordou incluem vulnerabilidades de corrupção de memória de uso após liberação em várias partes do Chrome, um problema de confusão de tipo de verificação ortográfica e um estouro de número inteiro. Os usuários do Chrome que não atualizaram para a versão 119.0.6045.200 devem fazê-lo o mais rápido possível.
No início deste mês, o Google também descreveu um dia zero que descobriu, que afetou o servidor de e-mail Zimbra Collaboration, impactando várias organizações governamentais internacionais. Os riscos incluíam roubo de e-mails, credenciais e tokens de autenticação.