聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该漏洞的编号是CVE-2024-23222，是WebKit 混淆漏洞，可用于在目标设备上获得代码执行权限。打开恶意网页后，攻击者可在运行易受攻击的 iOS、macOS 和 tvOS 版本上运行的设备上执行任意的恶意代码。苹果指出，“处理恶意构造的 web 内核可导致任意代码执行后果。苹果了解到有报告称该漏洞或已遭利用。”
苹果改进了 iOS 16.7.5及后续版本、iOS 16.7.5及后续版本、macOS Monterey 12.7.3及更高版本，以及 tvOS 17.3及后续版本中的检查，修复了该漏洞。
受该漏洞影响的设备数量庞大，因为它同时影响新旧设备型号，包括：
-
iPhone 8、iPhone 8 Plus、iPhone X、iPad 第5代、iPad Pro 9.7-inch 和 iPad Pro 12.9-inch 第1代
-
iPhone XS 及后续版本、iPad Pro 12.9-inch 第2代及后续版本、iPad Pro 10.5-inch、iPad Pro 11-inch 第1代及后续版本、iPad Air 第3代及后续版本、iPad 第6代及后续版本以及 iPad mini 第5代及后续版本。
-
运行 macOS Monterey 及后续版本的 Mac设备
-
Apple TV HD和Apple TV 4K（所有型号）
虽然该漏洞仅可能用于针对性攻击活动中，但建议尽快安装刚发布的安全更新，拦截潜在的攻击尝试。
苹果还将补丁向后兼容到老旧的 iPhone 和 iPad 机型，修复其它两个 WebKit 0day 漏洞（CVE-2023-42916和CVE-2023-42917）。
去年，苹果共修复了20个已遭在野利用的 0day 漏洞，包括：
-
11月修复2个0day（CVE-2023-42916和CVE-2023-42917）
-
10月修复2个0day（CVE-2023-42824和CVE-2023-5217）
-
9月修复5个0day（CVE-2023-41061、CVE-2023-41064、CVE-2023-41991、CVE-2023-41992和CVE-2023-41993）
-
7月修复2个0day（CVE-2023-37450和CVE-2023-38606）
-
6月修复3个0day（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）
-
5月修复3个0day（CVE-2023-32409、CVE-2023-28204和CVE-2023-32373）
-
4月修复2个0day（CVE-2023-28206和CVE-2023-28205）
-
2月修复1个WebKit 0day（CVE-2023-23529）
原文始发于微信公众号（代码卫士）：苹果修复2024年遭利用的第1个0day漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论