蘋果週四部署安全更新，以修復積極利用的零日安全缺陷。這些缺陷以前是科技巨頭未知的，可用於通過附件或“惡意製作的圖像”來安裝惡意軟件。
據發現這些脆弱性的研究人員說，據報導，這些漏洞是針對華盛頓特區民間社會組織成員的。
惡意軟件可能會損害蘋果iPhone
Citizen Lab是一個專門研究政府惡意軟件的Internet監管小組，發布了一篇博客文章，概述了其最近的發現在這些“ bastpass”錯誤中，也稱為“ Zero-click”或“ clickless”漏洞，表明受害者不需要與任何元素（例如附件）進行交互，以使其成功。
這種脆弱性是旨在提供NSO集團惡意軟件（通常稱為Pegasus）的更廣泛的利用鏈的一部分。
公民實驗室解釋說，利用鏈可能會損害運行最新版本的iOS（16.6）的iPhone，而無需受害者進行任何互動。
在發現後，公民實驗室立即報告了對蘋果的脆弱性。作為回應，蘋果週四發布了一個補丁，向Citizen Lab的及時報告延長了他們的感謝。
蘋果的最新安全更新覆蓋三個版本：WatchOS 9.6.2，iOS 16.6.1和iPados 16.6.1和Macos Ventura 13.5.2。對於WatchOS 9.6.2，該更新將解決Apple Watch系列4 Wallet App中的問題和較新的型號。
它解決了與製作的附件相關的驗證問題，該問題可能導致任意代碼執行。蘋果說，這表明該問題可能已被積極利用。
對於iOS 16.6.1和iPados 16.6.1，該更新主要關注ImageIO。該組件負責iPhone 8和以後的型號以及各種iPad型號上的圖像處理。
該更新糾正了與處理惡性圖像的處理有關的緩衝溢出問題。蘋果還指出，有報導說有主動剝削。
該版本還包括用於錢包應用程序的補丁程序，解決了與惡性附件相關的驗證問題，這可能會導致任意代碼執行。
Macos Ventura 13.5.2，該操作系統的最新更新，也以ImageIO為中心。影響是類似的，解決了與處理操縱圖像有關的緩衝溢出問題。
蘋果和公民實驗室一起工作
公民實驗室的發現源於一個常規設備檢查，該設備檢查屬於一個在華盛頓特區的民間社會組織，擁有全球辦事處。
該調查發現了一個積極利用的零單擊漏洞，這是鏈中至關重要的組成部分，以交付NSO集團的Pegasus間諜軟件。
研究人員計劃在即將出版的出版物中深入研究這一利用鏈的細節。公民實驗室立即向蘋果傳達了其發現，並積極協助調查。
蘋果通過發出與此漏洞鏈有關的兩個常見漏洞和暴露（CVE）做出反應：CVE-2023-41064和CVE-2023-41061。公民實驗室強調了立即更新設備以保護潛在風險的重要性。
它還鼓勵個人由於角色或隸屬關係激活鎖定模式而面臨較高風險的人，這是蘋果的安全工程和建築團隊確認可以挫敗這一特定攻擊的一種保護措施。
