Theo nhà nghiên cứu bảo mật Natalie Silvanovich của Project Zero, lỗ hổng thứ nhất có định danh CVE-2019-8646, nằm trong thành phần Siri và Core Data của iOS. Lỗ hổng này có thể cho phép tin tặc truy cập từ xa nội dung của các tệp được lưu trữ trên thiết bị iOS mà không cần sự tương tác của người dùng.
Lỗ hổng thứ 2 có định danh CVE-2019-8660. Đây là lỗ hổng bộ nhớ cũng nằm trong thành phần Siri và Core Data của iOS. Nếu được khai thác thành công sẽ cho phép tin tặc tấn công từ xa, gây ra ngừng ứng dụng đột ngột hoặc thực thi mã tùy ý. Lỗ hổng phát sinh khi giải mã một đối tượng của lớp NSKnownKeyDipedia1.
Hai lỗ hổng tiếp theo có định danh CVE-2019-8647 và CVE-2019-8662, đều là lỗ hổng use-after-free cho phép tin tặc thực thi mã tùy ý từ xa mà không cần sự tương tác của người dùng.
Cụ thể, lỗ hổng CVE-2019-8647 là lỗ hổng use-after-free, cho phép tấn công từ xa thông qua ứng dụng iMessage, nằm trong Core Data của iOS. Lỗ hổng tồn tại trong quá trình giải tuần tự hóa (deserialization) khi sử dụng initArithCoder của NSArray. Lỗ hổng CVE-2019-8662 cũng tương tự như CVE-2019-8647, cho phép khai thác từ xa thông qua iMessage. Tuy nhiên, lỗ hổng này tồn tại trong thành phần QuickLook của iOS.
Lỗ hổng thứ 5 được định danh CVE-2019-8641, cho phép tin tặc tấn công từ xa, gây ra ngừng ứng dụng đột ngột hoặc thực thi mã tùy ý.
Trong số các lỗ hổng được phát hiện, có 04 lỗ hổng đã được giải quyết với phiên bản iOS 12.4 được phát hành vào ngày 22/7. Tuy nhiên, tính đến thời điểm hiện tại lỗ hổng CVE-2019-8641 vẫn chưa có bản vá khắc phục.
Ngoài 5 lỗ hổng trên, một lỗ hổng khác cũng vừa được các nhà nghiên cứu của Google phát hiện và đã được giải quyết có định danh CVE-2019-8624, tác động đến hệ điều hành watchOS của Apple. Lỗ hổng này nằm trong thành phần Digital Touch của watchOS, ảnh hưởng đến Apple Watch Series 1 trở lên. Bản vá lỗ hổng được cung cấp trong watchOS 5.3.
Toàn Thắng
Theo SecurityWeek
09:00 | 13/06/2019
08:00 | 30/01/2019
09:16 | 14/04/2017
10:00 | 23/08/2024
Các nhà nghiên cứu bảo mật tại Cisco Talos vừa phát hiện ra một số lỗ hổng Microsoft Office, cho phép tin tặc theo dõi người dùng thông qua camera và micro.
10:00 | 14/08/2024
Trong bối cảnh khoa học công nghệ đang ngày càng phát triển, đi cùng với đó là những nguy cơ gây mất an ninh, an toàn thông tin đang ngày càng phổ biến. Một trong số những nguy cơ người dùng dễ gặp phải đó là bị lây nhiễm mã độc tống tiền (ransomware) trên thiết bị di động. Sau khi xâm nhập trên thiết bị di động, mã độc sẽ tự động mã hóa các dữ liệu có trên thiết bị đó hoặc ngăn chặn các phần mềm được kích hoạt trên smartphone, đồng thời sẽ yêu cầu người dùng phải trả tiền cho các tin tặc đứng sau như một hình thức trả tiền chuộc, gây thiệt hại vô cùng lớn cho nạn nhân. Trong bài viết này, tác giả sẽ đưa ra những điểm yếu, lỗ hổng tồn tại trên điện thoại di động dễ bị tin tặc tấn công. Qua đó, cũng đề xuất một số khuyến nghị nâng cao cảnh giác khi sử dụng di động, góp phần cho công tác phòng, chống phần mềm độc hại và chia sẻ dữ liệu mã độc.
14:00 | 10/07/2024
Juniper Networks đã phát hành bản cập nhật bảo mật mới để giải quyết một lỗ hổng bảo mật nghiêm trọng có thể dẫn đến việc bỏ qua xác thực trong một số bộ định tuyến của hãng.
16:00 | 20/06/2024
Một cuộc kiểm tra bảo mật mở rộng đối với QNAP QTS - hệ điều hành dành cho các sản phẩm NAS đã phát hiện 15 lỗ hổng với các mức độ nghiêm trọng khác nhau, trong đó có 11 lỗ hổng vẫn chưa được vá.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Kaspersky vừa phát hiện một nhóm tin tặc có tên Head Mare, chuyên tấn công các tổ chức ở Nga và Belarus bằng cách khai thác lỗ hổng zero-day trong phần mềm nén và giải nén phổ biến WinRAR.
16:00 | 04/09/2024
