Apple corregge l’ennesimoo 0day sfruttato attivamente. Siamo a 17 dall’inizio dell’anno

Apple ha rilasciato aggiornamenti di sicurezza di emergenza per correggere una nuova falla zero-day sfruttata in attacchi attivi contro gli utenti di iPhone e iPad. Si tratta della diciassettesima vulnerabilità zero-day sfruttata negli attacchi che Apple ha risolto dall’inizio dell’anno.

Lo zero-day, il CVE-2023-42824, è causato da una debolezza nel kernel XNU che consente agli aggressori locali di aumentare i privilegi su iPhone e iPad senza patch.

“Apple è a conoscenza di un rapporto dove questo problema potrebbe essere stato sfruttato attivamente contro versioni di iOS precedenti a iOS 16.6”, ha affermato la società in un avviso emesso mercoledì.

Anche se Apple ha affermato di aver risolto il problema di sicurezza in iOS 17.0.3 e iPadOS 17.0.3 con controlli migliorati, non ha ancora rivelato chi ha trovato e segnalato il bug di sicurezza.

L’elenco dei dispositivi interessati è piuttosto ampio e include:

• iPhone XS e successivi
• iPad Pro 12,9 pollici 2a generazione e successivi, iPad Pro 10,5 pollici, iPad Pro 11 pollici 1a generazione e successivi, iPad Air 3a generazione e successivi, iPad 6a generazione e successivi e iPad mini 5a generazione e successivi

Apple ha inoltre risolto un problema zero-day tracciato come CVE-2023-5217, causato da una debolezza di heap buffer overflow nella codifica VP8 della libreria di codec video open source libvpx, che potrebbe consentire l’esecuzione di codice arbitrario dopo uno sfruttamento riuscito.

Il bug è stato precedentemente corretto da Google nel browser Web Chrome e da Microsoft nei suoi prodotti Edge, Teams e Skype.

Apple ha recentemente corretto anche altri tre bug zero-day, il CVE-2023-41991, CVE-2023-41992 e CVE-2023-41993, segnalati dai ricercatori di Citizen Lab e Google TAG e sfruttati in attacchi spyware per installare lo spyware Predator di Cytrox.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks