Apple, İOS İçerisindeki Zeroday Açığını Kapattı

Apple, iPhone ve iPad kullanıcılarını hedef alan saldırılarda kullanılan sıfır günlük yeni bir güvenlik açığını gidermek için acil durum güvenlik güncelleştirmeleri yayınladı.

Şirket Çarşamba günü yayınlanan açıklamasında “Apple, bu sorunun iOS 16.6’dan önceki iOS sürümlerine karşı aktif olarak istismar edilmiş olabileceğine dair bir raporun farkında” dedi.

Sıfır gün (CVE-2023-42824), XNU çekirdeğinde keşfedilen ve yerel saldırganların yamasız iPhone ve ipad’lerde ayrıcalıkları artırmasına olanak tanıyan bir zayıflıktan kaynaklanıyor.

Apple, iOS 17.0.3 ve iPad OS 17.0.3’teki güvenlik sorununu iyileştirilmiş kontrollerle ele aldığını söylerken, kusuru kimin bulduğunu ve bildirdiğini henüz açıklamadı.

İlginizi çekebilecek yazımız: Tryhackme Oh My WebServer Çözümü

Etkilenen cihazların listesi oldukça geniştir ve şunları içerir:

• iPhone XS ve sonrası
• iPad Pro 12,9 inç 2. nesil ve üstü, iPad Pro 10,5 inç, iPad Pro 11 inç 1. nesil ve üstü, iPad Air 3. nesil ve üstü, iPad 6. nesil ve üstü ve iPad mini 5. nesil ve üstü

Apple ayrıca, CVE-2023-5217 olarak izlenen ve açık kaynaklı libvpx video kodek kitaplığının VP8 kodlamasındaki yığın arabellek taşması zayıflığından kaynaklanan ve başarılı bir kullanımdan sonra keyfi kod yürütülmesine izin verebilecek sıfır güne de değindi.

Libvpx hatası daha önce Google tarafından Chrome web tarayıcısında ve Microsoft tarafından Edge, Teams ve Skype ürünlerinde yamalıydı.

CVE-2023-5217, Google’ın Tehdit Analizi Grubu’nun (TAG) bir parçası olan güvenlik araştırmacısı Clément Lecigne tarafından, yüksek riskli bireyleri hedef alan devlet destekli hedefli casus yazılım saldırılarında genellikle sıfır gün istismar edildiğini tespit ettiği bilinen bir güvenlik uzmanları ekibi tarafından keşfedildi.

Bu yıl 17 Zeroday Açığı Kapatıldı

CVE-2023-42824, Apple’ın yıl başından beri düzelttiği saldırılarda kullanılan 17. sıfır günlük güvenlik açığıdır.

Apple ayrıca yakın zamanda Citizen Lab ve Google TAG araştırmacıları tarafından bildirilen diğer üç sıfır günlük hatayı (CVE-2023-41991, CVE-2023-41992 ve CVE-2023-41993) yamaladı ve Cytrox’un Predator casus yazılımını yüklemek için casus yazılım saldırılarında kullanıldı.

Citizen Lab, geçen ay Apple tarafından düzeltilen ve tamamen yamalı iphone’lara NSO Group’un Pegasus casus yazılımlarını bulaştırmak için sıfır tıklama istismar zincirinin (BLASTPASS olarak adlandırılan) bir parçası olarak kötüye kullanılan diğer iki sıfır günü (CVE-2023-41061 ve CVE-2023-41064) açıkladı.

Ocak 2023’ten bu yana Apple, aşağıdakiler de dahil olmak üzere iphone’ları ve Mac’leri hedeflemek için kullanılan toplam 17 sıfır Zeroday açığı kapattı:

• Temmuz ayında 2 Zeroday açığı (CVE-2023-37450 ve CVE-2023-38606)
• Haziran ayında 3 Zeroday açığı (CVE-2023-32434, CVE-2023-32435 ve CVE-2023-32439)
• Mayıs ayında 3 Zeroday açığı daha (CVE-2023-32409, CVE-2023-28204 ve CVE-2023-32373)
• Nisan ayında 2 Zeroday açığı (CVE-2023-28206 ve CVE-2023-28205)
• ve Şubat ayında başka bir WebKit sıfır günü (CVE-2023-23529)

açığı kapatıldı.

Bugünün iOS 17.0.3 sürümü, iOS 17.0.2 ve daha düşük sürümleri çalıştıran iphone’ların aşırı ısınmasına neden olan bilinen bir sorunu da ele alıyor.

Apple, “Bu güncelleştirme önemli hata düzeltmeleri, güvenlik güncelleştirmeleri sağlar ve iPhone’un beklenenden daha sıcak çalışmasına neden olabilecek bir sorunu giderir” dedi. 

Apple, İOS İçerisindeki Zeroday Açığını Kapattı ve güncellemeyi kesinlikle yapmanızı öneriyoruz.

Haber Kaynağı: Bleeping Computer