Callie Guenther, Quản lý cấp cao tại Công ty an ninh mạng Critical Start (Mỹ) cho biết, các lỗ hổng đã được phát hiện bởi các nhóm như Citizen Lab và nhóm phân tích các mối đe dọa của Google. Tính từ đầu năm 2023 đã có 16 lỗ hổng zero-day được phát hiện và xử lý. Số lượng lớn các lỗ hổng này cho thấy, các thiết bị của Apple với mức độ phổ biến và lượng người dùng đông đảo đang là mục tiêu hấp dẫn cho các tác nhân đe dọa cấp cao.

Các lỗ hổng zero-day được Apple vá ngày 22/9 bao gồm:

• CVE-2023-41993: Lỗ hổng trong trình duyệt WebKit. Lỗ hổng cho phép tin tặc thực thi mã tùy ý thông qua các trang web độc hại tác động trực tiếp đến nhiều người dùng và có khả năng xâm phạm dữ liệu nhạy cảm. NIST thông báo rằng sự cố này đã được khắc phục trong iOS 16.7 và iPadOS 16.7, iOS 17.0.1 và iPadOS 17.0.1 cũng như Safari 16.6.1.
• CVE-2023-41991: Lỗ hổng khung bảo mật. Lỗ hổng cho phép tin tặc bypass xác thực chữ ký. Điều này có nghĩa là các ứng dụng độc hại có thể giả mạo là ứng dụng hợp pháp, có khả năng đánh lừa người dùng và các hoạt động kiểm tra phần mềm khác. NIST cho biết sự cố này đã được khắc phục trong iOS 16.7 và iPadOS 16.7, iOS 17.0.1 và iPadOS 17.0.1 cũng như Safari 16.6.1.
• CVE-2023-41992: Lỗ hổng được tìm thấy trong Kernel Framework. Đây là lỗ hổng leo thang đặc quyền đặc biệt nghiêm trọng. Chúng có thể cho phép tin tặc có được các đặc quyền cao hơn, thậm chí có thể có quyền truy cập root hoặc quản trị. NIST cho biết sự cố này đã được khắc phục trong iOS 16.7 và iPadOS 16.7, OS 17.0.1 và iPadOS 17.0.1, watchOS 9.6.3, macOS Ventura 13.6, macOS Monterey 12.7 và watchOS 10.0.1.

Các nhà nghiên cứu bảo mật của Citizen Lab và Google Threat Analysis Group tiết lộ các lỗ hổng zero-day bị lạm dụng trong các cuộc tấn công phần mềm gián điệp có chủ đích nhắm vào các cá nhân có nguy cơ cao, bao gồm các nhà báo, chính trị gia đối lập, và những người bất đồng chính kiến.

Citizen Lab tiết lộ hai lỗ hổng zero-day khác (CVE-2023-41061 và CVE-2023-41064) cũng đã được Apple sửa trong các bản cập nhật an ninh khẩn cấp hồi đầu tháng này và bị lạm dụng như một phần của chuỗi khai thác zero-click (được đặt tên là BLASTPASS) trong phần mềm gián điệp thương mại Pegasus của NSO Group để lây nhiễm iPhone được vá đầy đủ.