苹果公司解决了两个正在被活跃利用的零日漏洞

漏洞CVE-2024-44309是一个Webkit中的Cookie管理问题，可能会导致跨站脚本攻击（XSS）当处理恶意网络内容时。苹果公司的公告中写道：“处理恶意编制的网络内容可能会导致跨站脚本攻击。苹果公司了解到，这个问题可能已经在基于Intel的Mac系统中被活跃利用。”

苹果公司解决了这个Cookie管理问题，使用了改进的状态管理。

漏洞CVE-2024-44308影响了JavaScriptCore，可以导致恶意网络内容处理时的任意代码执行。苹果公司的公告中写道：“处理恶意编制的网络内容可能会导致任意代码执行。苹果公司了解到，这个问题可能已经在基于Intel的Mac系统中被活跃利用。”

公司使用了改进的检查来解决这个问题。

苹果公司没有披露攻击的细节，也没有对特定的威胁actor进行归因。Google的威胁分析组（TAG）发现了这两个漏洞。TAG专注于保护用户，通过监控和对抗高级持续性威胁（APTs）和网络间谍活动，而这些活动通常涉及商业间谍软件。这暗示这两个漏洞可能是由高级威胁actor使用的exploit的一部分。

公司发布了以下更新来解决这两个漏洞：

• iOS 18.1.1和iPadOS 18.1.1：iPhone XS及后续、iPad Pro 13英寸、iPad Pro 12.9英寸 3rd generation及后续、iPad Pro 11英寸 1st generation及后续、iPad Air 3rd generation及后续、iPad 7th generation及后续和iPad mini 5th generation及后续。

• iOS 17.7.2和iPadOS 17.7.2：iPhone XS及后续、iPad Pro 13英寸、iPad Pro 12.9英寸 2nd generation及后续、iPad Pro 10.5英寸、iPad Pro 11英寸 1st generation及后续、iPad Air 3rd generation及后续、iPad 6th generation及后续和iPad mini 5th generation及后续。

• Safari 18.1.1：macOS Ventura和macOS Sonoma macOS Sequoia 15.1.1系统。

• 用户应该立即更新设备到最新版本。

原文始发于微信公众号（黑猫安全）：苹果公司解决了两个正在被活跃利用的零日漏洞