Apple vá 3 lỗ hổng zero-day, người dùng iPhone cần cập nhật ngay

Apple gấp rút vá 3 lỗ hổng zero-day mới

3 lỗ hổng zero-day mới ảnh hưởng đến người dùng iPhone, iPad, MacBook, Apple Watch và Safari, nâng tổng số lỗ hổng bảo mật được phát hiện trong phần mềm của Apple trong năm nay lên 16.

Danh sách 3 lỗ hổng zero-day mới:

- CVE-2023-41991: Sự cố xác thực chứng chỉ trong khung bảo mật có thể cho phép ứng dụng độc hại bỏ qua xác thực chữ ký.

- CVE-2023-41992: Một lỗ hổng bảo mật trong Kernel có thể cho phép kẻ tấn công cục bộ nâng cao đặc quyền.

- CVE-2023-41993: Một lỗ hổng WebKit có thể dẫn đến việc thực thi mã tùy ý khi xử lý nội dung web được tạo đặc biệt.

Apple không cung cấp thông tin chi tiết về lỗ hổng, ngoài việc thừa nhận chúng có thể đã bị khai thác tích cực trên các phiên bản iOS trước iOS 16.7.

Để hạn chế bị tấn công, người dùng iPhone nên cập nhật hệ thống lên phiên bản iOS 16.7 hoặc iOS 17.0.1 bằng cách vào Settings (cài đặt) - General (cài đặt chung) - Software Update (cập nhật phần mềm) - Download and Install (tải về và cài đặt). Lưu ý, dung lượng các bản cập nhật có thể thay đổi tùy vào thiết bị bạn đang sử dụng.

Danh sách các thiết bị được cập nhật

- iOS 16.7 và iPadOS 16.7: iPhone 8 trở lên, iPad Pro (tất cả các kiểu máy), iPad Air thế hệ thứ 3 trở lên, iPad thế hệ thứ 5 trở lên và iPad mini thế hệ thứ 5 trở lên.

- iOS 17.0.1 và iPadOS 17.0.1: iPhone XS trở lên, iPad Pro 12,9 inch thế hệ thứ 2 trở lên, iPad Pro 10,5 inch, iPad Pro 11 inch thế hệ 1 trở lên, iPad Air thế hệ thứ 3 trở lên, iPad thứ 6 thế hệ trở lên, iPad mini thế hệ thứ 5 trở lên.

- macOS Monterey 12.7 và macOS Ventura 13.6

- watchOS 9.6.3 và watchOS 10.0.1: Apple Watch Series 4 trở lên

- Safari 16.6.1: macOS Big Sur và macOS Monterey

Người phát hiện ra lỗ hổng bảo mật là nhà nghiên cứu Bill Marczak thuộc trường Munk của ĐH Toronto, và Maddie Stone thuộc Nhóm Phân tích Mối đe dọa (TAG) của Google.

Tiết lộ này được công bố hai tuần sau khi Apple giải quyết 2 lỗ hổng zero-day bị khai thác tích cực khác (CVE-2023-41061 và CVE-2023-41064) như một phần của chuỗi khai thác iMessage bằng zero-click.