蘋(píng)果高危漏洞允許攻擊者在iPhone、iPad、iPod上執(zhí)行任意代碼
[[343702]]
蘋(píng)果發(fā)布了iOS和iPadOS操作系統(tǒng)的更新，修復(fù)了多個(gè)安全性問(wèn)題。
通過(guò)此安全更新，Apple 解決了 AppleAVD，Apple Keyboard，WebKit和Siri等各種產(chǎn)品和組件中的11個(gè)漏洞。
在已修復(fù)的漏洞中，嚴(yán)重性最高的是CVE-2020-9992，它允許攻擊者在系統(tǒng)上執(zhí)行任意代碼。
高危漏洞– CVE-2020-9992
來(lái)自IBM X-Force的安全研究人員發(fā)現(xiàn)了一個(gè)重要漏洞，該漏洞使攻擊者能夠提升蘋(píng)果iOS和iPadOS權(quán)限，從而影響設(shè)備。
該漏洞是由于IDE設(shè)備支持組件中的錯(cuò)誤所致，可以將其跟蹤為CVE-2020-9992，以執(zhí)行需要用戶交互的代碼。
公告寫(xiě)道，
通過(guò)引導(dǎo)受害者打開(kāi)特制文件，攻擊者可以利用此漏洞在網(wǎng)絡(luò)上的調(diào)試會(huì)話期間在配對(duì)設(shè)備上執(zhí)行任意代碼。
蘋(píng)果通過(guò)加密網(wǎng)絡(luò)與運(yùn)行iOS 14、iPadOS 14、tvOS 14和watchOS 7的設(shè)備之間的通信，修復(fù)了該漏洞。
其他漏洞修復(fù)
· AppleAVD/ CVE-2020-9958
適用于以下設(shè)備的更新：iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本。
該漏洞影響應(yīng)用程序可能會(huì)導(dǎo)致系統(tǒng)意外終止或?qū)懭雰?nèi)核內(nèi)存。
· Assets/ CVE-2020-9979
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
通過(guò)利用此漏洞，攻擊者可能會(huì)濫用信任關(guān)系來(lái)下載惡意內(nèi)容。
· Icons/ CVE-2020-9773
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
惡意應(yīng)用程序可能會(huì)識(shí)別用戶安裝了哪些其他應(yīng)用程序。
· IOSurfaceAccelerator/ CVE-2020-9964
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
本地用戶可能會(huì)讀取內(nèi)核內(nèi)存。
· Icons/ CVE-2020-9976
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
惡意應(yīng)用程序可能會(huì)泄漏敏感的用戶信息。
· Model I/O/ CVE-2020-9973
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
處理惡意制作的USD文件可能會(huì)導(dǎo)致應(yīng)用程序意外終止或任意代碼執(zhí)行。
· Phone/ CVE-2020-9946
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
在指定的時(shí)間后，屏幕鎖定可能不會(huì)起作用。
· Sandbox/ CVE-2020-9968
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
惡意應(yīng)用程序可能會(huì)訪問(wèn)受限制的文件。
· Siri/ CVE-2020-9959
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
對(duì)iOS設(shè)備具有物理訪問(wèn)權(quán)限的人可以從鎖屏查看通知內(nèi)容。
· WebKit/ CVE-2020-9952
適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。
處理惡意制作的Web內(nèi)容可能會(huì)導(dǎo)致跨站點(diǎn)腳本攻擊（XSS）。
