Phát hiện 3 lỗ hổng zero-day trong hệ điều hành iOS của Apple đang bị tin tặc khai thác

Mới đây, Apple đã phát hành một loạt bản cập nhật bảo mật để vá ba lỗ hổng zero-day đang bị khai thác trên thực tế.

Loạt lỗ hổng bảo mật được phát hành bản vá trong các bản cập nhật iOS, iPadOS, macOS và watchOS. Được biết những lỗi này xuất hiện trong thành phần FontParser và kernel, nó cho phép kẻ tấn công thực thi mã tùy ý và chạy chương trình độc hại với các đặc quyền ở cấp độ kernel.

Những lỗ hổng zero-day này đã được phát hiện và báo cáo cho Apple bởi nhóm bảo mật Project Zero của Google.
“Apple nhận thức rõ việc mã khai thác của những lỗ hổng này đang bị phát tán trên diện rộng,” nhà sản xuất iPhone thông báo về 3 lỗi zero-day nhưng không tiết lộ thêm bất cứ thông tin bổ sung nào và khuyến nghị người dùng nhanh chóng cài đặt các bản cập nhật.

Danh sách các thiết bị bị ảnh hưởng bao gồm các dòng iPhone 5s trở lên, iPod touch thế hệ thứ 6 và thứ 7, iPad Air, iPad mini 2 trở lên, và Apple Watch Series 1 trở lên.

Các bản sửa lỗi hiện đã được phát hành trong các phiên bản iOS 12.4.9 và 14.2, iPadOS 14.2, watchOS 5.3.9, 6.2.9 và 7.1, và trong bản cập nhật bổ sung cho macOS Catalina 10.15.7.

Theo bản tin bảo mật của Apple, các lỗ hổng bao gồm:
•    CVE-2020-27930: Lỗ hổng gián đoạn bộ nhớ trong thư viện FontParser, cho phép thực thi mã từ xa khi xử lý một font chữ được tạo đặc biệt bởi kẻ tấn công.
•    CVE-2020-27932: Lỗi khởi tạo bộ nhớ cho phép ứng dụng độc hại thực thi mã tùy ý với đặc quyền kernel.
•    CVE-2020-27950: Lỗi xáo trộn type (type confusion) khiến ứng dụng độc hại tiết lộ bộ nhớ kernel.

“Mục tiêu khai thác trên thực tế của 3 lỗ hổng này tương tự như mục tiêu của các lỗ hổng zero-day được báo cáo gần đây. Không có bất cứ mục tiêu nào liên quan tới cuộc bầu cử đang diễn ra,” Shane Huntley, Giám đốc Nhóm phân tích mối đe dọa của Google cho biết.

Đây là những phát hiện mới nhất của Project Zero kể từ lần báo cáo cuối vào ngày 20 tháng 10. Lỗ hổng đầu tiên được công bố bởi nhóm bảo mật này là một lỗi Chrome zero-day trong thư viện Freetype (CVE-2020-15999), sau đó là một lỗi Windows zero-day (CVE-2020 -17087), tiếp đến là hai lỗ hổng khác trong Chrome và biến thể trên hệ điều hành Android của nó (CVE-2020-16009 và CVE-2020-16010).

Bản vá cho lỗ hổng Windows zero-day dự kiến sẽ được phát hành vào ngày 10 tháng 11 và là một phần của bản cập nhật Patch Tuesday tháng này.

Trong khi đợi Apple công bố thêm các thông tin khác về lỗ hổng cũng như chờ xem liệu nó có bị lợi dụng khai thác bởi cùng một nhóm tấn công hay không, người dùng được khuyến nghị nên nhanh chóng cập nhật thiết bị của mình lên phiên bản mới nhất để giảm thiểu tối đa rủi ro có thể xảy ra.