- Apple đã phát hành một bản vá khẩn cấp cho iOS, iPadOS, macOS và watchOS nhằm khắc phục lỗ hổng zero-day đã bị bị các đối tượng tấn công khai thác nhằm lây nhiễm mã độc Pegasus Spyware.

Chi tiết cụ thể về lỗ hổng:

CVE-2023-41061: Đây là một lỗ hổng xác thực trong ứng dụng Wallet của Apple. Lỗ hổng này cho phép đối tượng tấn công thực hiện việc thực thi mã từ xa khi xử lý một tệp tin độc hại. Điều này có nghĩa là, nếu người dùng mở một tệp tin độc hại trong Wallet, đối tượng tấn công có thể thực hiện mã từ xa trên thiết bị của họ.

CVE-2023-41064: Đây là một lỗi Buffer Overflow (tràn bộ đệm) trong bộ phận Image I/O của Apple. Lỗ hổng này cho phép đối tượng tấn công thực thi mã từ xa khi xử lý một hình ảnh độc hại.

Nếu một người dùng mở một hình ảnh có chứa mã độc, đối tượng tấn công có thể lợi dụng lỗ hổng này để kiểm soát từ xa thiết bị của người dùng. Apple đã đưa ra bản vá cho các thiết bị và hệ điều hành sau của hãng:

• iOS 16.6.1 và iPadOS 16.6.1 - Dành cho iPhone 8 trở lên, iPad Pro, iPad Air thế hệ 3 trở lên, iPad thế hệ 5 trở lên và iPad mini từ thế hệ 5 trở lên.

• macOS Venture 13.5.2 - Cho các thiết macOS sử dụng macOS Venture

• watchOS 9.6.2 – Dành cho Apple Watch Series 4 trở lên.

Trong một cảnh báo khác, đã ghi nhận rằng cả hai lỗ hổng này đã được sử dụng trong một chuỗi tấn công zero-click (không cần tương tác từ người dùng) trên ứng dụng iMessage, được đặt tên là BLASTPASS, nhằm triển khai phần mềm gián điệp Pegasus trên các iPhone đã được cập nhật lên phiên bản mới nhất của hệ điều hành iOS 16.6.

Chuỗi khai thác này cho phép đối tượng tấn công xâm nhập vào iPhone của người dùng mà không yêu cầu họ phải thực hiện bất kỳ thao tác nào. Quy trình này thực hiện thông qua việc đính kèm một PassKit chứa hình ảnh độc hại được đối tấn công gửi tới người dùng thông qua ứng dụng iMessage.

Hiện tại, các thông tin kỹ thuật chi tiết về lỗ hổng chưa được tiết lộ để tránh việc bị kẻ tấn công lợi dụng. Tuy nhiên, có thông tin cho rằng khi lỗ hổng này bị khai thác, nó có khả năng bỏ qua BlastDoor, một framework sandbox mà Apple sử dụng để ngăn chặn các hình thức tấn công zero-click.

Thông tin về lỗ hổng zero-day này đã dẫn đến việc Trung Quốc đã cấm các công chức nhà nước sử dụng iPhone và các thiết bị của các hãng nước ngoài trong công việc. Đây là một biện pháp nhằm giảm sự phụ thuộc của quốc gia này vào công nghệ nước ngoài, đặc biệt trong bối cảnh căng thẳng của cuộc chiến tranh thương mại với Mỹ.

PV