IT之家8 月 20 日消息，據(jù)央視報道，美國蘋果公司當(dāng)?shù)貢r間本周三發(fā)布兩份安全報告披露，公司旗下智能手機 iPhone、平板電腦 iPad 和 iMac 電腦等產(chǎn)品存在嚴(yán)重安全漏洞。該漏洞可使黑客完全控制這些設(shè)備。

這些漏洞可能會讓潛在的攻擊者入侵用戶設(shè)備、獲得管理權(quán)限甚至完全控制設(shè)備并運行其中的應(yīng)用軟件。蘋果公司稱已經(jīng)開始尋找存在以上安全漏洞的原因及相應(yīng)的解決方法。

據(jù)介紹，蘋果HTML 渲染引擎 (WebKit) 中存在一個名為 CVE-2022-32893 的遠程代碼執(zhí)行漏洞 (RCE)，通過該漏洞，黑客可以可以欺騙 iPhone、iPad 和 Mac 運行未經(jīng)授權(quán)和不受信任的代碼；而 CVE-2022-32893 是 WebKit 中的越界寫入問題，所以請大家盡快更新系統(tǒng)和瀏覽器。

根據(jù)告，“受影響的設(shè)備 " 包括 iPhone 6S 及后續(xù)機型，多款 iPad 機型，以及使用 macOS Monterey 操作系統(tǒng)的 iMac 電腦，甚至還包括一些 iPod。專家建議將這些設(shè)備盡快更新至 IOS 最新版本。

網(wǎng)絡(luò)安全公司 SocialProofSecurity 的 CEO 雷切爾?托巴克 (RachelToback) 表示，該漏洞可以讓攻擊者獲得對設(shè)備的“完全管理員權(quán)限 "，使他們可以冒充設(shè)備的所有者。

“這就是我們所謂的零日漏洞，因為它在公司發(fā)覺之前就已被黑客利用，只是這個例子中是蘋果”所以目前我們現(xiàn)在還不知道有誰真正利用了這個漏洞以及它是如何被利用的。

蘋果沒有說明這些漏洞是在哪在何時被發(fā)現(xiàn)的，也沒有說明是誰發(fā)現(xiàn)的，只是在其報告中引用了一位匿名研究人員。

IT之家了解到，這一漏洞已在 8 月 17 日的 iOS 15.6.1 和 iPadOS 15.6.1 中得以修復(fù)，請盡快安裝更新。目前最新的版本：

iOS 和 iPadOS 的最新版本是 15.6.1。了解如何更新 iPhone、iPad 或 iPod touch 上的軟件。

macOS 的最新版本是 12.5.1。了解如何更新 Mac 上的軟件以及如何允許重要的后臺更新。

Apple tvOS 的最新版本是 15.6。了解如何更新 Apple TV 上的軟件。

適用于 Apple Watch Series 3 的 watchOS 的最新版本是 8.7.1。適用于 Apple Watch Series 4、Apple Watch Series 5、Apple Watch SE、Apple Watch Series 6 和 Apple Watch Series 7 的 watchOS 的最新版本是 8.7。

Kernel

適用于：iPhone 6s 及更新機型、iPad Pro（所有機型）、iPad Air 2 及更新機型、iPad（第 5 代）及更新機型、iPad mini 4 及更新機型，以及 iPod touch（第 7 代），以及 macOS Monterey

影響：應(yīng)用程序或許能夠以內(nèi)核權(quán)限執(zhí)行任意代碼。Apple 知曉有報告指出，這個問題可能已經(jīng)遭到利用。

描述：已通過改進邊界檢查解決越界寫入問題。

CVE-2022-32894：一位匿名研究人員

WebKit

適用于：iPhone 6s 及更新機型、iPad Pro（所有機型）、iPad Air 2 及更新機型、iPad（第 5 代）及更新機型、iPad mini 4 及更新機型，以及 iPod touch（第 7 代），以及macOS Monterey

影響：處理惡意制作的網(wǎng)頁內(nèi)容可能會導(dǎo)致任意代碼執(zhí)行。Apple 知曉有報告指出，這個問題可能已經(jīng)遭到利用。

描述：已通過改進邊界檢查解決越界寫入問題。

WebKit Bugzilla：243557

CVE-2022-32893：一位匿名研究人員