ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bugün federal ajanslara, NSO Group'un Pegasus casus yazılımlarıyla iPhone'ları enfekte etmek için sıfır tıkalı bir iMessage istismar zincirinin bir parçası olarak istismar edilen güvenlik açıklarını yamalamasını emretti.
Bu uyarı, Citizen Lab'ın iki kusurun, Washington DC merkezli bir sivil toplum organizasyonuna ait tam olarak paketlenmiş iPhone'ları, kötü niyetli görüntüler içeren passit ekleri aracılığıyla çalışan Blastpass adlı bir istismar zinciri kullanılarak tehlikeye atmak için kullanıldığını açıkladıktan sonra geliyor.
Citizen Lab ayrıca Apple müşterilerini Perşembe günü derhal yayınlanan acil güncellemeleri uygulamaları konusunda uyardı ve kimlikleri veya meslekleri nedeniyle hedeflenen saldırılara duyarlı kişileri kilitleme modunu mümkün kılmak için çağırdı.
CVE-2023-41064 ve CVE-2023-41061 olarak izlenen iki görüntü I/O ve cüzdan güvenlik açıklarını tanımlarken şirket, "Apple, bu sorunun aktif olarak kullanılmış olabileceğine dair bir raporun farkında." Dedi.
Etkilenen cihazların listesi oldukça geniştir, çünkü hatalar hem eski hem de yeni modelleri etkilemektedir ve şunları içerir:
Apple, MacOS Ventura 13.5.2, iOS 16.6.1, iPados 16.6.1 ve Watchos 9.6.2'de bellek işleme ve geliştirilmiş mantıkla iki sıfır gün sabitledi. Her ikisi de saldırganların açılmamış cihazlarda keyfi kod yürütülmesine izin verir.
Pazartesi günü, CISA, bilinen sömürülen güvenlik açıkları kataloğuna iki güvenlik kusurunu ekledi ve onları "kötü niyetli siber aktörler için sık saldırı vektörleri" olarak etiketledi ve "Federal İşletme için önemli riskler" oluşturdu.
ABD Federal Sivil Yürütme Şube Ajansları (FCEB), Kasım 2022'de yayınlanan bir bağlayıcı operasyonel direktif (BOD 22-01) uyarınca CISA'nın KEV kataloğuna eklenen tüm güvenlik açıklarını yamalıdır.
Bugünkü güncellemeden sonra, federal ajanslar 2 Ekim 2023'e kadar CVE-2023-41064 ve CVE-2023-41061'e karşı ağlarında tüm savunmasız iOS, iPados ve macOS cihazlarını güvence altına almalıdır.
BOD 22-01 öncelikle ABD federal ajanslarına odaklanırken, CISA da özel şirketlere iki güvenlik açığını mümkün olan en kısa sürede yamaya öncelik vermelerini şiddetle tavsiye etti.
Ocak 2023'ten bu yana, Apple, iOS, macOS, iPados ve Watchos cihazlarını hedeflemek için toplam 13 sıfır gün sömürüldü:
IPhone'ları casus yazılımlarla enfekte etmek için kullanılan Apple Sıfırlı IMESSAGE istismarı
İranlı bilgisayar korsanları ABD havacılık orgunu managemine, fortinet böcekleri ile ihlal ettiriyor
Apple, iPhone'lara Saldırı için Susturan 2 Yeni Sıfır Gününü Açıklıyor, Macs
Apple, 'Güvenlik Araştırması' iPhone'ları almak için 2024 uygulamayı açar
CISA aktif olarak sömürülen Ivanti Mobileiron Bugs hakkında yeni bir uyarı veriyor
Kaynak: Bleeping Computer