#iOS165 #Tháng5BảoMật
Apple vừa phát hành bản cập nhật iOS 16.5 với việc vá 39 vấn đề, bao gồm 3 lỗ hổng bảo mật đã bị khai thác trong các cuộc tấn công trước đó. Cùng tháng này, Google và Microsoft cũng phát hành bản vá lớn để khắc phục nhiều lỗi bảo mật trong sản phẩm của họ.
Ngoài ra, tháng 5 cũng là thời điểm quan trọng đối với phần mềm doanh nghiệp khi GitLab, SAP và Cisco cũng phát hành các bản sửa lỗi cho sản phẩm của họ.
Bản cập nhật iOS 16.5 của Apple đã vá các lỗ hổng trong Kernel và WebKit, công cụ hỗ trợ trình duyệt Safari. Trong số 5 lỗ hổng được sửa trong WebKit, ba trong đó đã bị khai thác, bao gồm CVE-2023-32409, CVE-2023-28204 và CVE-2023-32373. Các lỗ hổng này có thể cho phép kẻ tấn công thoát ra khỏi nội dung Web từ xa, tiết lộ thông tin nhạy cảm và thực thi mã tùy ý.
Microsoft cũng phát hành bản vá bảo mật để khắc phục 40 lỗ hổng, trong đó có hai lỗ hổng zero-day đã bị sử dụng trong các cuộc tấn công trước đó. Các lỗ hổng này có thể cho phép kẻ tấn công giành được các đặc quyền hệ thống, thực thi mã tùy ý và vượt qua Secure Boot.
Google cũng không phải ngoại lệ khi phát hành bản vá bảo mật mới nhất cho Android, sửa 40 lỗi, bao gồm lỗ hổng Kernel đã bị khai thác và các sự cố trong các thành phần khác của hệ điều hành. Các vấn đề bảo mật nghiêm trọng nhất có thể dẫn đến leo thang đặc quyền cục bộ và cần sự tương tác của người dùng để khai thác.
Đó là tất cả mọi thứ bạn cần biết về các bản cập nhật bảo mật được phát hành trong tháng 5.
Nguồn: https://www.wired.com/story/apple-ios-16-5-security-flaws-critical-update-may-2023/
Apple, Google và Microsoft đã phát hành các bản vá lớn trong tháng này để khắc phục nhiều lỗi bảo mật đã được sử dụng trong các cuộc tấn công. Tháng 5 cũng là một tháng quan trọng đối với phần mềm doanh nghiệp, với GitLab, SAP và Cisco đã phát hành các bản sửa lỗi cho nhiều lỗi trong sản phẩm của họ.
Đây là tất cả mọi thứ bạn cần biết về cập nhật bảo mật phát hành vào tháng 5.
Apple iOS và iPadOS 16.5
Apple đã phát hành bản cập nhật điểm được chờ đợi từ lâu iOS16.5, giải quyết 39 vấn đề, ba trong số đó đã bị khai thác trong các cuộc tấn công thực tế. Bản nâng cấp iOS vá các lỗ hổng trong Kernel ở trung tâm của hệ điều hành và trong WebKit, công cụ hỗ trợ trình duyệt Safari. Ba lỗ hổng đã bị khai thác nằm trong số năm lỗ hổng đã được sửa trong WebKit—được theo dõi là CVE-2023-32409, CVE-2023-28204 và CVE-2023-32373.
CVE-2023-32409 là sự cố có thể cho phép kẻ tấn công thoát ra khỏi hộp cát Nội dung Web từ xa, theo báo cáo của Clément Lecigne thuộc Nhóm Phân tích Đe dọa của Google và Donncha Ó Cearbhaill thuộc Phòng thí nghiệm Bảo mật của Tổ chức Ân xá Quốc tế. CVE-2023-28204 là một lỗ hổng có nguy cơ khiến người dùng tiết lộ thông tin nhạy cảm. Cuối cùng, CVE-2023-32373 là một lỗi sử dụng sau khi miễn phí có thể cho phép thực thi mã tùy ý.
Đầu tháng, Apple đã phát hành iOS 16.4.1 (a) và iPadOS 16.4.1 (a)—bản cập nhật đầu tiên của nhà sản xuất iPhone Phản hồi bảo mật nhanh chóng cập nhật—việc sửa hai lỗ hổng WebKit bị khai thác sau cũng đã được vá trong iOS 16.5.
Apple iOS và iPadOS 16.5 được phát hành cùng với iOS 15.7.6 và iPadOS 15.7.6 cho iPhone cũ hơn, cũng như iTunes 12.12.9 cho Windows, Safari 16.5, macOS Big Sur 11.7.7, macOS Ventura 13.4 và macOS Monterey 12.6. 6.
táo cũng phát hành bản cập nhật bảo mật đầu tiên cho tai nghe Beats và AirPods.
Microsoft
Bản vá thứ ba giữa tháng của Microsoft đã khắc phục 40 sự cố bảo mật, hai trong số đó là các lỗ hổng zero-day đã được sử dụng trong các cuộc tấn công. Lỗ hổng zero-day đầu tiên, CVE-2023-29336là một lỗi nâng cao đặc quyền trong trình điều khiển Win32k có thể cho phép kẻ tấn công giành được các đặc quyền Hệ thống.
Lỗ hổng nghiêm trọng thứ hai, CVE-2023-24932, là sự cố bỏ qua tính năng bảo mật Khởi động an toàn có thể cho phép kẻ tấn công có đặc quyền thực thi mã. Microsoft cho biết: “Kẻ tấn công đã khai thác thành công lỗ hổng này có thể vượt qua Secure Boot,” đồng thời cho biết thêm rằng lỗ hổng này rất khó khai thác: “Việc khai thác thành công lỗ hổng này yêu cầu kẻ tấn công phải thỏa hiệp thông tin xác thực của quản trị viên trên thiết bị”.
Bản cập nhật bảo mật không phải là bản sửa lỗi đầy đủ: Nó giải quyết lỗ hổng bằng cách cập nhật Windows Boot Manager, điều này có thể gây ra sự cố, công ty cảnh báo. Các bước bổ sung được yêu cầu tại thời điểm này để giảm thiểu lỗ hổng, Microsoft cho biết, chỉ vào bước người dùng bị ảnh hưởng có thể thực hiện để giảm thiểu vấn đề.
Google Android
Google đã phát hành bản vá bảo mật Android mới nhất, sửa 40 lỗi, bao gồm lỗ hổng Kernel đã bị khai thác. Các bản cập nhật cũng bao gồm các bản sửa lỗi cho các sự cố trong các thành phần Android Framework, Hệ thống, Hạt nhân, MediaTek, Unisoc và Qualcomm.
Google cho biết vấn đề nghiêm trọng nhất là lỗ hổng bảo mật nghiêm trọng cao trong thành phần Framework có thể dẫn đến leo thang đặc quyền cục bộ, đồng thời cho biết thêm rằng cần có sự tương tác của người dùng để khai thác.
trước đây kêt nôi đên nhà cung cấp phần mềm gián điệp thương mại, CVE-2023-0266 là một sự cố Kernel có thể dẫn đến leo thang đặc quyền cục bộ. Tương tác người dùng là không cần thiết để khai thác.
[ad_2]
