Apple aggiornamenti per vecchi iPhone e iPad correggono vulnerabilità zero-day

Apple ha pubblicato aggiornamenti di sicurezza per iPhone e iPad più vecchi per applicare patch rilasciate una settimana fa, affrontando due vulnerabilità zero-day sfruttate negli attacchi. “Apple è a conoscenza di una segnalazione secondo cui questo problema potrebbe essere stato attivamente sfruttato nelle versioni di iOS precedenti a iOS 16.6”, ha dichiarato l’azienda in un avviso. La prima vulnerabilità zero-day (identificata come CVE-2023-42824) è una vulnerabilità di escalation dei privilegi causata da una debolezza nel kernel XNU che può permettere agli aggressori locali di elevare i privilegi su iPhone e iPad vulnerabili. Apple ha ora corretto il problema in iOS 16.7.1 e iPadOS 16.7.1 con controlli migliorati, ma non ha ancora rivelato chi ha scoperto e segnalato il difetto. Il secondo, un bug identificato come CVE-2023-5217, è causato da una vulnerabilità di overflow del buffer heap all’interno della codifica VP8 della libreria di codec video open-source libvpx. Questa falla potrebbe permettere agli attori della minaccia di ottenere l’esecuzione di codice arbitrario in caso di sfruttamento riuscito.