Apple ha rilasciato aggiornamenti di sicurezza d’emergenza per correggere una nuova vulnerabilità zero-day sfruttata in attacchi mirati agli utenti di iPhone e iPad. “Apple è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato attivamente sfruttato nelle versioni di iOS precedenti alla 16.6”, ha dichiarato l’azienda in un avviso emesso mercoledì.
Dettagli sulla vulnerabilità
La vulnerabilità zero-day (CVE-2023-42824) è causata da una debolezza scoperta nel kernel XNU che consente agli aggressori locali di elevare i privilegi su iPhone e iPad non aggiornati. Sebbene Apple abbia affermato di aver affrontato il problema di sicurezza in iOS 17.0.3 e iPadOS 17.0.3 con controlli migliorati, non ha ancora rivelato chi ha trovato e segnalato il difetto.
Dispositivi interessati
L’elenco dei dispositivi interessati è piuttosto ampio e include:
- iPhone XS e successivi
- iPad Pro 12.9 pollici (2a generazione e successivi), iPad Pro 10.5 pollici, iPad Pro 11 pollici (1a generazione e successivi), iPad Air (3a generazione e successivi), iPad (6a generazione e successivi) e iPad mini (5a generazione e successivi).
Altre vulnerabilità corrette
Apple ha anche risolto una vulnerabilità zero-day, identificata come CVE-2023-5217, causata da un overflow del buffer di heap nella codifica VP8 della libreria di codec video open-source libvpx. Questo bug potrebbe consentire l’esecuzione di codice arbitrario dopo un’exploit riuscito. Questa vulnerabilità era stata precedentemente corretta da Google nel browser Chrome e da Microsoft in Edge, Teams e Skype.
Vulnerabilità zero-day corrette quest’anno
CVE-2023-42824 è la 17ª vulnerabilità zero-day sfruttata in attacchi che Apple ha corretto dall’inizio dell’anno. Apple ha anche recentemente corretto altre tre vulnerabilità zero-day sfruttate in attacchi spyware per installare il spyware Predator di Cytrox.
Aggiornamenti e correzioni
L’aggiornamento iOS 17.0.3 rilasciato oggi risolve anche un problema noto che causa il surriscaldamento degli iPhone con iOS 17.0.2 e versioni precedenti.