保贝狗是一款个人信息保护产品。
苹果周四发布了iOS，iPadOS，macOS和watchOS的紧急安全更新，以解决两个在野外被利用的零日漏洞，以提供NSO集团的Pegasus雇佣兵间谍软件。
这些问题描述如下 –
- CVE-2023-41061 – 电子钱包中的一个验证问题，在处理恶意制作的附件时可能导致任意代码执行。
- CVE-2023-41064 – 映像 I/O 组件中的缓冲区溢出问题，在处理恶意制作的映像时可能导致任意代码执行。
虽然 CVE-2023-41064 是由多伦多大学蒙克学院的公民实验室发现的，但 CVE-2023-41061 是由 Apple 在公民实验室的“协助”下在内部发现的。
这些更新适用于以下设备和操作系统 –
- iOS 16.6.1 和 iPadOS 16.6.1 – iPhone 8 及更新机型、iPad Pro（所有机型）、第 3 代及更新机型 iPad Air、第 5 代及更新机型、第 5 代及更新机型 iPad mini
- macOS Ventura 13.5.2 – 运行 macOS 文图拉的 macOS 设备
- watchOS 9.6.2 – Apple Watch Series 4 及更高版本
在另一次警报中，公民实验室透露，这两个漏洞已被武器化，作为名为BLASTPASS的零点击iMessage漏洞链的一部分，用于在运行iOS 16.6的完全修补的iPhone上部署Pegasus。
“漏洞利用链能够在没有受害者任何交互的情况下破坏运行最新版本iOS（16.6）的iPhone，”跨学科实验室说。“该漏洞涉及PassKit附件，其中包含从攻击者iMessage帐户发送给受害者的恶意图像。
鉴于积极开发，有关缺点的其他技术细节已被保留。也就是说，据说该漏洞绕过了Apple为减轻零点击攻击而建立的BlastDoor沙盒框架。
“这一最新发现再次表明，民间社会成为高度复杂的漏洞利用和雇佣间谍软件的目标，”公民实验室说，并补充说，上周在检查华盛顿特区民间社会组织雇用的身份不明的个人的设备时发现了这些问题。
自今年年初以来，库比蒂诺已经在其软件中修复了总共13个零日漏洞。最新更新也是在该公司发布针对主动利用的内核漏洞 （CVE-2023-38606） 的修复程序一个多月后发布的。
据信，中国政府已下令 禁止中央和州政府官员使用iPhone和其他外国品牌设备进行工作，以减少对海外技术的依赖，并且在中美关系不断升级的情况下，零日漏洞传出。贸易战。
“[禁令]的真正原因是：网络安全（惊喜），”Zimperium的安全研究员兼创始人Zuk Avraham在X上的一篇文章中说，“iPhone的形象是最安全的手机……但实际上，iPhone对简单的间谍活动一点也不安全。
“不相信我？只要看看像NSO这样的商业公司多年来的0点击次数，就会明白，个人、组织或政府几乎无法通过iPhone保护自己免受网络间谍活动的侵害。
