کشف سه آسیب پذیری Zero-Day در دستگاه های Apple

اپل روز پنجشنبه چندین به روزرسانی امنیتی برای برطرف کردن سه آسیب پذیری Zero-Day منتشر کرد که مشخص شد به طور فعال در فضای عمومی در حال استفاده است.

این ایرادات به عنوان بخشی از به روزرسانی های iOS ، iPadOS ، macOS و watchOS منتشر شده است، نقص های گفته شده در بخش FontParser و هسته وجود دارد و به هکر ها امکان اجرای کد از راه دور (RCE) و اجرای برنامه های مخرب را با سطح دسترسی kernel را می دهد.

نقص های Zero-Day توسط تیم امنیتی Project Zero گوگل کشف و به اپل گزارش شد. سازنده آیفون در مورد این سه نقص Zero-Day بدون ارائه جزئیات اضافی گفت: “اپل از گزارش هایی مبنی بر سو استفاده از این مسئله در فضای عمومی آگاه است” ، و به همین دلیل به تمامی  کاربران توصیه می کند تا به روزرسانی ها ارائه شده را نصب کنند.

این اصلاحات در نسخه های iOS 12.4.9 و iOS 14.2 و ۱۴.۲ iPadOS و watchOS 5.3.9 ,6.2.9 ,7.1 و یک به روز رسانی کامل برای macOS Catalina 10.15.7

بق بیانه امنیتی اپل ، این ایرادات عبارتند از:

CVE-2020-27930: یک مسئله memory corruption در کتابخانه FontParser است که امکان اجرای کد از راه دور هنگام پردازش یک فونت امکان RCE را فراهم می کند.
CVE-2020-27932: مسئله memory initialization که به یک برنامه مخرب امکان اجرای کد دلخواه سطح دسترسی kernel را می دهد.
CVE-2020-27950: مسئله type-confusion که اطلاعات kernel memory را برای یک برنامه مخرب نمایان می کند.

شین هانتلی ، مدیر گروه تجزیه و تحلیل تهدیدات گوگل گفت: “نقص های منتشر شده و در حال استفاده توسط مهاجمان همانند نقص های zero-day در گذشته است و هیچ ارتباطی به انتخابات ایالات متحده آمریکا ندارد.”

این آسیب پذیری ها آخرین مورد از نقص های zero-day است کشف شده از تاریخ ۲۰ اکتبر است. ابتدا آسیب پذیری zero-day مرورگر Chrome که در Freetype font rendering library (CVE-2020-15999) نقص کشف شد و سپس نقص Zero-Day ویندوز وارد بازار شد (CVE-2020-17087)، و پس از آن دو نقص دیگر در Chrome و نسخه Android آن (CVE-2020-16009 و CVE-2020-16010) شناسایی شد.

  • Active Directory Pentesting Full Course – Red Team Hacking

Active Directory Pentesting Full Course – Red Team Hacking

Active Directory Pentesting Full Course – Red Team Hacking   اکثر شبکه های امروزی از سرویس اکتیو دایرکتوری برای مدیریت اکانتینگشبکه استفاده میکنند . در واقع سرویس AD برای مدیریت لاگین و دسترسی [...]