Sono state individuate tre pericolose vulnerabilità zero-day in iOS, macOS e watchOS che interessano tutte il componente Webkit, cioè il motore di rendering delle pagine Web utilizzato dal browser Safari di Apple e da tutti i browser web mobili in iOS, oltre che da altre applicazioni come Apple Mail e l’App Store.
Tutti e tre i difetti di sicurezza potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario sui dispositivi target semplicemente inducendo le vittime a visitare un sito Web dannoso.
Le vulnerabilità, secondo quanto confermato dalla stessa Apple, sarebbero state già sfruttate attivamente dai criminal hacker per attaccare diversi dispositivi iPhone, iPad, iPod, macOS ed Apple Watch.
Questo è l’elenco dei dispositivi risultati vulnerabili:
- iPhone 6s e successivi
- iPad Pro (tutti i modelli)
- iPad Air 2 e successivi
- iPad di quinta generazione e successivi
- iPad mini 4 e successivi
- iPod touch (settima generazione)
- macOS Big Sur
- Apple Watch Series 3 e successivi
Indice degli argomenti
Vulnerabilità zero-day in iOS, macOS e watchOS: i dettagli
La scoperta di queste tre nuove vulnerabilità arriva a pochi giorni di distanza dal rilascio ufficiale delle nuove versioni dei sistemi operativi Apple, macOS Big Sur 11.3 (contenente a sua volta la patch per un’altra vulnerabilità zero-day) e iOS 14.5 (che ha segnato una vera e propria svolta privacy per la casa di Cupertino).
Le vulnerabilità identificate nel modulo Webkit sono due di tipo RCE (Remote Code Execution), tracciate come CVE-2021-30663 e CVE-2021-30665, e una di tipo buffer overflaw, tracciata come CVE-2021-30666.
Le prime due zero-day di tipo RCE, in particolare, sono ritenute le più pericolose in quanto consentono agli aggressori di prendere di mira i dispositivi vulnerabili ed eseguire comandi su di essi da remoto.
Vale inoltre la pena segnalare che la vulnerabilità CVE-2021-30666 colpisce solo i vecchi dispositivi Apple come iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, e iPod touch (di sesta generazione).
Come mitigare il rischio
La buona notizia è che Apple ha rilasciato nella giornata di ieri le patch per tutte le nuove vulnerabilità identificate nei suoi sistemi operativi.
La raccomandazione per mitigare il rischio associato alle falle di sicurezza è quindi quella di aggiornare il prima possibile i dispositivi Apple alle seguenti ultime versioni del sistema operativo:
- iOS 14.5.1
- iOS 12.5.3
- macOS Big Sur 11.3.1
- watchOS 7.4.1
