Apple, meglio aggiornare subito: corrette due falle 0day su iOS, iPadOS e macOS

Apple ha rilasciato aggiornamenti di emergenza per correggere due nuove vulnerabilità 0-day sfruttate attivamente negli attacchi ai danni di iPhone, iPad e Mac. Si tratta dei 0-day numero 19 e 20 da inizio 2023 per la Mela, a conferma di un anno decisamente produttivo per hacker e cybercriminali.

Nello specifico, i due bug sono stati individuati nell'engine WebKit, parte integrante del browser Safari sui dispositivi iOS e macOS. Una falla consentiva di leggere informazioni sensibili attraverso una debolezza in lettura out-of-bounds; la seconda permetteva invece l’esecuzione di codice arbitrario sfruttando un bug di corruzione della memoria.

Apple corregge due falle di sicurezza sui propri OS

Gli hacker potevano sfruttare le due debolezze per compromettere iPhone, iPad e Mac tramite pagine web appositamente create, riuscendo ad ottenere in alcuni casi l'accesso completo ai dispositivi bersaglio. Apple non ha diffuso molti dettagli, ma ha ammesso di essere a conoscenza dell’effettivo sfruttamento in attacchi reali almeno di una delle due falle zero-day.

I bug sono stati segnalati al colosso di Cupertino dal ricercatore Clément Lecigne per il Threat Analysis Group (TAG) di Google. La lista di prodotti Apple vulnerabili è estesa, includendo iPhone XS e modelli più recenti, diverse varianti di iPad (Pro 12,9" di seconda generazione e successivi, iPad Pro 10,5", Pro 11" di prima generazione e successivi, iPad Air di terza generazione e successivi, iPad di sesta generazione e successivi, mini di quinta generazione e successivi) e i Mac con le ultime versioni dei sistemi operativi macOS.

Tutti gli utenti sono caldamente invitati ad aggiornare i propri dispositivi non appena possibile. Le versioni che correggono le falle sono iOS 17.1.2, iPadOS 17.1.2, macOS Sonoma 14.1.2 e Safari 17.1.2. Delle 20 falle 0day corrette da Apple nel corso dell'anno, almeno 14 sono state sfruttate attivamente al momento della loro scoperta. Gli aggiornamenti recenti hanno risolto bug critici utilizzati per distribuire software spia come Predator e Pegasus di NSO Group.