Patches da Apple exploram ativamente o dia zero em seu ecossistema
A Apple lançou recentemente uma série de atualizações para seus sistemas operacionais e navegador Safari, abordando várias vulnerabilidades que estavam sendo exploradas ativamente por agentes de ameaças desconhecidos. Entre essas vulnerabilidades estão dois zero-days que têm sido usados em uma campanha de vigilância chamada Operação Triangulação desde 2019.
A primeira vulnerabilidade, CVE-2023-32434, é uma falha de estouro de número inteiro no Kernel que pode ser explorada por um aplicativo malicioso para executar código arbitrário com privilégios de kernel. A segunda vulnerabilidade, CVE-2023-32435, é um problema de corrupção de memória no WebKit que pode resultar na execução arbitrária de código ao processar conteúdo da Web especialmente criado.
A Apple reconheceu que essas duas vulnerabilidades podem ter sido exploradas ativamente em versões do iOS lançadas antes do iOS 15.7. Em sua análise, os pesquisadores descobriram um implante de spyware conhecido como TriangleDB, que foi entregue por meio de ataques de clique zero via iMessages contendo uma exploração para uma vulnerabilidade de execução remota de código.
Spyware reside exclusivamente na memória
O implante opera exclusivamente na memória, dificultando a detecção, e possui vários recursos para coleta e rastreamento de dados, incluindo interação do sistema de arquivos, gerenciamento de processos, extração de itens de chaveiro para coleta de credenciais e monitoramento de geolocalização.
Além dos dias zero, a Apple também corrigiu outra vulnerabilidade, CVE-2023-32439, que pode levar à execução arbitrária de código ao processar conteúdo malicioso da web. A atualização está disponível para várias plataformas, incluindo iOS, iPadOS, macOS, watchOS e Safari.
Essas correções mais recentes elevam o número total de vulnerabilidades de dia zero abordadas pela Apple este ano para nove. Em atualizações anteriores, a Apple resolveu outras vulnerabilidades, como uma falha do WebKit (CVE-2023-23529) que permitia a execução remota de código e dois bugs (CVE-2023-28205 e CVE-2023-28206) que permitiam a execução de código com privilégios elevados.
