Nova vulnerabilidade de dia zero explorada ativamente descoberta em produtos da Apple.

A Apple lançou na terça-feira atualizações de segurança para os navegadores iOS, iPadOS, macOS, tvOS e Safari para resolver uma nova vulnerabilidade de dia zero que pode resultar na execução de código malicioso.

Rastreado como CVE-2022-42856 , o problema foi descrito pela gigante da tecnologia como um problema de confusão de tipo no mecanismo do navegador WebKit que pode ser acionado ao processar conteúdo especialmente criado, levando à execução arbitrária do código.

A empresa disse que está “ciente de um relatório de que esse problema pode ter sido explorado ativamente em versões do iOS lançadas antes do iOS 15.1”.

Embora os detalhes sobre a natureza exata dos ataques ainda sejam desconhecidos, é provável que tenha envolvido um caso de engenharia social ou um poço de água para infectar os dispositivos ao visitar um domínio não autorizado ou legítimo, mas comprometido por meio do navegador.

Vale a pena notar que todos os navegadores de terceiros disponíveis para iOS e iPadOS, incluindo Google Chrome, Mozilla Firefox e Microsoft Edge e outros, são obrigados a usar o mecanismo de renderização WebKit devido a restrições impostas pela Apple.

O crédito por descobrir e relatar o problema é Clément Lecigne, do Grupo de Análise de Ameaças (TAG) do Google. A Apple notou que corrigiu o bug com um tratamento de estado aprimorado.

A atualização, que está disponível com iOS 15.7.2, iPadOS 15.7.2 , macOS Ventura 13.1 , tvOS 16.2 e Safari 16.2 , chega duas semanas depois que a Apple corrigiu o mesmo bug no iOS 16.1.2 em 30 de novembro de 2022.

A correção marca a resolução da décima vulnerabilidade de dia zero descoberta no software da Apple desde o início do ano. É também a nona falha de dia zero explorada ativamente em 2022 –

• CVE-2022-22587 (IOMobileFrameBuffer) – Um aplicativo malicioso pode ser capaz de executar código arbitrário com privilégios de kernel
• CVE-2022-22594 (Armazenamento WebKit) – Um site pode rastrear informações confidenciais do usuário (conhecidas publicamente, mas não exploradas ativamente)
• CVE-2022-22620 (WebKit) – O processamento de conteúdo da Web criado com códigos maliciosos pode levar à execução arbitrária de códigos
• CVE-2022-22674 (Intel Graphics Driver) – Um aplicativo pode ser capaz de ler a memória do kernel
• CVE-2022-22675 (AppleAVD) – Um aplicativo pode executar código arbitrário com privilégios de kernel
• CVE-2022-32893 (WebKit) – O processamento de conteúdo da Web criado com códigos maliciosos pode levar à execução arbitrária de códigos
• CVE-2022-32894 (Kernel) – Um aplicativo pode executar código arbitrário com privilégios de kernel
• CVE-2022-32917 (Kernel) – Um aplicativo pode executar código arbitrário com privilégios de kernel
• CVE-2022-42827 (Kernel) – Um aplicativo pode executar código arbitrário com privilégios de kernel

As atualizações mais recentes do iOS, iPadOS e macOS também apresentam um novo recurso de segurança chamado Proteção Avançada de Dados para iCloud , que expande a criptografia de ponta a ponta (E2EE) para Backup, Notas, Fotos e muito mais do ‌iCloud‌.