TheHackerNews网站披露,苹果公司近日推出了iOS、iPadOS、macOS的安全更新,以期解决一个0day漏洞(追踪为CVE202323529)。 研究表明,CVE202323529漏洞与WebKit开源浏览器引擎中的类型混淆错误有关,一旦攻击者成功利用,便可在目标系统上执行任意代码。 WebKit是一个主要用于Safari,Dashboard,Mail和其它一些MacOSX程序的开源浏览器引擎,在手机上的应用十分广泛(例如Android、iPhone等)。此外,WebKit还应用在MacOSX平台默认的Safari桌面浏览器内。国内某安全厂商监测到多个Apple漏洞 除了上述提到的CVE202323529安全漏洞,近段时间,国内某安全厂商还监测了多个Apple官方发布的安全漏洞通知,主要包括:AppleKernel权限提升漏洞(CVE202323514) ApplemacOSVentura敏感信息泄露漏洞(CVE202323522) 相较于其它两个漏洞,CVE202323529影响范围及危害程度最严重,该漏洞允许未经身份认证的远程攻击者诱骗受害者访问其特制的恶意网站,使WebKit处理网页内容时触发类型混淆错误,最终在目标系统上实现任意代码执行。 影响苹果多个版本产品:iPhone8及更高版本 iPadPro(所有型号) iPadAir第三代及更高版本 iPad第五代及更新版本 iPadmini第五代和更高版本 运行macOSVentura的Mac 此外,攻击者可组合利用CVE202323529和CVE202323514漏洞提升权限并逃逸Safari沙箱。值得注意的是,安全研究人员已经发现AppleWebKit任意代码执行漏洞CVE202323529在野利用的迹象,鉴于这些漏洞影响范围较大,建议客户尽快做好自查及防护。苹果已发布了安全更新 2月14日,苹果官方正式发布了iOS16。3。1安全更新,修复了CVE202323529高危漏洞,建议用户尽快升级。 官方更新日志显示,此次安全更新修复了存在于WebKit中的漏洞 WebKit安全漏洞问题存在已久,2022年,苹果总共修复了10个0day,4个漏洞是在WebKit中发现的。