别迷信苹果系统最安全，更新修补零日漏洞

Apple 发布了另一轮安全更新，以解决 iOS 和 macOS 中的多个漏洞，包括一个新的零日漏洞，该漏洞已在野外攻击中使用。

该问题的标识符为CVE-2022-32917，根源于内核组件，可能使恶意应用程序能够以内核权限执行任意代码。

“Apple 知道有报告称这个问题可能已被积极利用，”这家 iPhone 制造商在一份简短声明中承认，并补充说它通过改进绑定检查解决了该错误。

一位匿名研究人员报告了这一缺点。值得注意的是，CVE-2022-32917 也是苹果在不到一个月的时间内修复的第二个与内核相关的零日漏洞。

补丁适用于iOS 15.7、iPadOS 15.7、iOS 16、macOS Big Sur 11.7和macOS Monterey 12.6 版本。iOS 和 iPadOS 更新涵盖 iPhone 6s 及更新机型、iPad Pro（所有型号）、iPad Air 2 及更新机型、iPad 第 5 代及更新机型、iPad mini 4 及更新机型以及 iPod touch（第 7 代）。

自今年年初以来，Apple 已通过最新修复解决了 7 个被积极利用的零日漏洞和一个众所周知的零日漏洞 -

• CVE-2022-22587 (IOMobileFrameBuffer) – 恶意应用程序可能能够以内核权限执行任意代码

• CVE-2022-22594（WebKit 存储）——网站可能能够跟踪敏感的用户信息（公开但未被积极利用）

• CVE-2022-22620 (WebKit) – 处理恶意制作的网页内容可能导致任意代码执行

• CVE-2022-22674（英特尔显卡驱动程序）——应用程序可能能够读取内核内存

• CVE-2022-22675 (AppleAVD) – 应用程序可能能够以内核权限执行任意代码

• CVE-2022-32893 (WebKit) – 处理恶意制作的网页内容可能导致任意代码执行

• CVE-2022-32894（内核）——应用程序可能能够以内核权限执行任意代码

除了 CVE-2022-32917，Apple 还在 iOS 16 中填补了 10 个安全漏洞，涵盖联系人、内核映射、MediaLibrary、Safari 和 WebKit。iOS 16 更新还值得注意的是加入了一种新的锁定模式，该模式旨在使零点击攻击更加困难。

iOS 进一步引入了一项名为Rapid Security Response的功能，该功能使用户可以在 iOS 设备上自动安装安全修复程序，而无需完整的操作系统更新。

“快速安全响应可以更快地提供重要的安全改进，然后才能成为未来软件更新中其他改进的一部分，”苹果在周一发布的修订支持文件中表示。

最后，iOS 16 还支持Safari网络浏览器中的密码，这是一种无密码登录机制，允许用户通过 Touch ID 或 Face ID 进行身份验证来登录网站和服务。

原文始发于微信公众号（河南等级保护测评）：别迷信苹果系统最安全，更新修补零日漏洞