Apple, corrette vulnerabilità zero-day in iOS, macOS e watchOS: aggiorniamo subito i sistemi - Cyber Security 360

L'ANALISI TECNICA

Apple, corrette vulnerabilità zero-day in iOS, macOS e watchOS: aggiorniamo subito i sistemi

Sono state scoperte tre pericolose vulnerabilità zero-day nei sistemi operativi Apple che potrebbero consentire ad un attaccante di eseguire codice arbitrario sui dispositivi target e prenderne il controllo inducendo semplicemente la vittima a visitare un sito Web dannoso. Ecco i dettagli

04 Mag 2021
Paolo Tarsitano

Editor Cybersecurity360.it

Sono state individuate tre pericolose vulnerabilità zero-day in iOS, macOS e watchOS che interessano tutte il componente Webkit, cioè il motore di rendering delle pagine Web utilizzato dal browser Safari di Apple e da tutti i browser web mobili in iOS, oltre che da altre applicazioni come Apple Mail e l’App Store.

Tutti e tre i difetti di sicurezza potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario sui dispositivi target semplicemente inducendo le vittime a visitare un sito Web dannoso.

Le vulnerabilità, secondo quanto confermato dalla stessa Apple, sarebbero state già sfruttate attivamente dai criminal hacker per attaccare diversi dispositivi iPhone, iPad, iPod, macOS ed Apple Watch.

Questo è l’elenco dei dispositivi risultati vulnerabili:

  • iPhone 6s e successivi
  • iPad Pro (tutti i modelli)
  • iPad Air 2 e successivi
  • iPad di quinta generazione e successivi
  • iPad mini 4 e successivi
  • iPod touch (settima generazione)
  • macOS Big Sur
  • Apple Watch Series 3 e successivi

Vulnerabilità zero-day in iOS, macOS e watchOS: i dettagli

La scoperta di queste tre nuove vulnerabilità arriva a pochi giorni di distanza dal rilascio ufficiale delle nuove versioni dei sistemi operativi Apple, macOS Big Sur 11.3 (contenente a sua volta la patch per un’altra vulnerabilità zero-day) e iOS 14.5 (che ha segnato una vera e propria svolta privacy per la casa di Cupertino).

[QUIZ] SECURITY/BACKUP
Protezione dei dati: sei sicuro di avere una strategia efficace? Scoprilo nel Quiz
Big Data
Sicurezza

Le vulnerabilità identificate nel modulo Webkit sono due di tipo RCE (Remote Code Execution), tracciate come CVE-2021-30663 e CVE-2021-30665, e una di tipo buffer overflaw, tracciata come CVE-2021-30666.

Le prime due zero-day di tipo RCE, in particolare, sono ritenute le più pericolose in quanto consentono agli aggressori di prendere di mira i dispositivi vulnerabili ed eseguire comandi su di essi da remoto.

Vale inoltre la pena segnalare che la vulnerabilità CVE-2021-30666 colpisce solo i vecchi dispositivi Apple come iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, e iPod touch (di sesta generazione).

Come mitigare il rischio

La buona notizia è che Apple ha rilasciato nella giornata di ieri le patch per tutte le nuove vulnerabilità identificate nei suoi sistemi operativi.

La raccomandazione per mitigare il rischio associato alle falle di sicurezza è quindi quella di aggiornare il prima possibile i dispositivi Apple alle seguenti ultime versioni del sistema operativo:

  • iOS 14.5.1
  • iOS 12.5.3
  • macOS Big Sur 11.3.1
  • watchOS 7.4.1

@RIPRODUZIONE RISERVATA

Articolo 1 di 5