苹果紧急修复已遭 NSO Group 利用的 iMessage 0day以及另一个0day

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

今天，苹果发布安全更新，修复了由以色列间谍软件制造商 NSO Group 开发的专业利用 ForcedEntry。自今年2月起，该利用已被滥用于入侵多个活动家的电话。目前已发布补丁，适用于 macOS、iOS、iPadOS 和 watchOS。

该漏洞的编号为CVE-2021-30860，存在于用于 2D 图片的苹果组件CoreGraphics 中。遭利用后，NSO 集团的客户可将恶意构造的 PDF 文件发送到受害者的苹果设备中，并运行恶意代码以接管系统。

加拿大多伦多大学公民实验室发现了该 0day，并分别在8月份和今天发布报告指出，发现 ForcedEntry 被部署在巴林和沙特阿拉伯活动家的iPhone 中。

研究人员指出，该利用至少在今年2月份就用于攻击中。在8月份发布的报告中，公民实验室指出 NSO 集团开发 ForcedEntry 的目的似乎是绕过苹果公司在2020年秋天在 iOS 14 中新增的一个安全新特性 BlastDoor。

同时修复 Safari 0day

另外，苹果还在今天修复了另外一个 0day，编号为 CVE-2021-30858。

该漏洞由匿名研究员发现，影响 Safari 的 WebKit 浏览器引擎，同时也被在野利用但具体详情并未公开。

该漏洞的补丁已发布，适用于 macOS、iOS 和 iPadOS。

这两个0day是苹果公司在今年修复的第14个和第15个0day。

苹果发布声明称，“发现该 exploit 在 iMessage 中利用的漏洞后，苹果公司迅速开发并在 iOS 14.8 中部署修复方案，保护用户安全。我们感谢公民实验室成功地补充了获取该利用样本的艰难工作，使得我们能够快速开发出该修复方案。此类攻击高度复杂，需要数百万美元的开发成本，通常保质期较短，用于定向攻击具体的个体。虽然这意味着对于大多数用户而言并非重大威胁，但我们将继续竭尽全力保护所有客户的安全，而且我们将不断增强对客户设备和数据的防护措施。”

---

【开奖啦！！！！！】

上次的限时赠书活动中奖名单已出炉，恭喜以下同学中奖，请未填写地址的同学在微信后台私信地址，我们已经发出部分书籍啦。

@whyseu @。@HFwuhome@惊蛰 @nimo @XuZ @淡然 @Marco韬 @王孟 @Wecat@nwnλ @MOBE @湘北二两西香葱@※ @搬砖小土妞@云烟过眼 @r00t@小风 @傲雪@最好走的路是套路 @Zhao.xiaojun @浅笑淡然 @X-Star @Erick2013 @小秦同学 @X @王骏 @欢寻 @nbp@Mr. Guo

大家可移步京东电子工业出版社一睹为快！或直接点击“原文链接”购买。

如下是本书相关讲解:

推荐阅读

速修复！CISA警告称 Zoho 服务器0day已遭在野利用
微软警告：Office 已遭IE RCE 新0day 攻击
苹果修复今年以来的第13个0day，影响iOS 和 macOS
苹果修复老旧设备中的两个 iOS 0day

原文链接

https://therecord.media/apple-releases-patches-for-nso-groups-forcedentry-zero-day/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~