Apple vừa phát hành hai bản vá lỗi quan trọng cho bốn sản phẩm chính của mình nhằm chống lại spyware Pegasus. Vào ngày Thứ Năm, các bản vá lỗi phát hành “au pháp” cho iPhone, iPad, Apple Watch và Mac chỉ vài ngày trước sự kiện ra mắt của Apple vào ngày 12 tháng 9.
Lỗ hổng này được phát hiện và báo cáo cho Apple bởi The Citizen Lab, một phòng thí nghiệm nghiên cứu học thuật phân tích các mối đe dọa về bảo mật và các rủi ro khác.
Được ghi nhận bởi Apple về việc phát hiện này, phòng thí nghiệm đã phát hành một báo cáo mô tả lỗ hổng này là chuỗi sự kiện khai thác, được đặt tên là Blastpass, có khả năng xâm nhập vào các thiết bị iPhone sử dụng phiên bản iOS mới nhất (16.6) mà không cần bất kỳ tương tác nào từ người dùng. Lỗi có thể bị khai thác bằng cách kẻ tấn công gửi các tệp PassKit đính kèm hình ảnh độc hại qua iMessage của Apple.
Để đáp ứng với lỗ hổng này, Apple đã phát hành hai bản vá riêng cho iPhone và iPad được ghi là CVE-2023-41064 và CVE-2023-41061. The Citizen Lab khuyến nghị tất cả người dùng áp dụng các bản vá ngay lập tức thông qua các bản cập nhật mới nhất cho các thiết bị có ảnh hưởng.
Đối với người dùng iPhone và iPad, iOS 16.6.1 và iPadOS 16.6.1 đã sẵn sàng để cài đặt trên iPhone 8 trở lên, tất cả các mẫu của iPad Pro, iPad Air thế hệ thứ 3 và mới hơn, iPad thế hệ thứ 5 và mới hơn, và iPad mini thế hệ thứ 5 và mới hơn. Truy cập vào Cài đặt > Chung > Cập nhật phần mềm. Sau đó nhấn Tải xuống và Cài đặt để áp dụng bản cập nhật.
Các bản vá cũng đã sẵn sàng cho các thiết bị Apple khác.
Đối với người đeo Apple Watch, WatchOS 9.6.2 đã sẵn sàng để cài đặt trên Apple Watch Series 4 và mới hơn. Mở ứng dụng Watch trên iPhone của bạn, vào phần Cài đặt chung, sau đó chọn Cập nhật phần mềm, và sau đó nhấn Tải xuống và Cài đặt.
Và với người dùng Mac, MacOS Ventura 13.5.2 đã sẵn sàng. Đối với bản vá này, nhấp vào biểu tượng Apple và chọn Cài đặt Hệ thống. Nhấp vào tổng quát và sau đó chọn Cập nhật phần mềm. Nhấp vào nút để cài đặt bản cập nhật.
Trong báo cáo của mình, The Citizen Lab tiết lộ cách phát hiện lỗ hổng này: “Tuần trước, trong quá trình kiểm tra thiết bị của một cá nhân làm việc cho một tổ chức xã hội dân sự có văn phòng ở Washington DC, Citizen Lab đã phát hiện một lỗ hổng zero-click được khai thác mà được sử dụng để cài đặt phần mềm độc hại Pegasus của NSO Group”.
Pegasus là một công cụ gián điệp do NSO Group có trụ sở ở Israel sử dụng, đã đạt được một mức độ tai tiếng khi nhắm vào các quan chức chính phủ, các nhà hoạt động chính trị và nhà báo. Phần mềm này hoạt động bằng cách từ xa truy cập vào thiết bị để thu thập dữ liệu điện thoại di động, giám sát cuộc trò chuyện qua các ứng dụng nhắn tin như WhatsApp và Facebook, xem xét trao đổi email và hoạt động trình duyệt, và ngắm người khác qua camera và mic.
NSO Group tiếp tục khẳng định rằng Pegasus được sử dụng cho các mục đích hợp pháp của chính phủ để theo dõi hoạt động tội phạm và khủng bố và giám sát các mối đe dọa cục bộ và toàn cầu. Tuy nhiên, The Citizen Lab, Amnesty International và các tổ chức khác cho rằng phần mềm gián điệp này được sử dụng để nhắm mục tiêu người vô tội.
Người dùng nghi ngờ bị nhắm mục tiêu bởi Pegasus được khuyến nghị đặt iPhone hoặc iPad của họ vào chế độ Lockdown. Điều này khả dụng cho tất cả người dùng, Chế độ Lockdown tắt hoặc giới hạn một số tính năng và cài đặt chính trên thiết bị để ngăn chặn spyware và phần mềm độc hại lấy cắp dữ liệu nhạy cảm.
Việc phát hành các bản cập nhật chỉ vài ngày trước sự kiện ra mắt là hiếm thấy đối với Apple, điều này cho thấy tính cấp thiết của lỗ hổng và việc áp dụng các bản vá này.
Vào thứ Ba tới, ngày 12 tháng 9, dự kiến Apple sẽ hé màn cho các sản phẩm mới của mình như iPhone, Apple Watch, AirPods và có thể là các sản phẩm khác. Cùng với các sản phẩm mới sẽ là phiên bản mới của các hệ điều hành tương ứng của Apple như iOS/iPadOS, watchOS, macOS và tvOS. Apple thường phát hành phiên bản mới của các hệ điều hành vào khoảng một tuần sau sự kiện ra mắt, vì vậy mong chờ chúng vào khoảng ngày 19 tháng 9.
Apple has released two critical security updates for four of its core products in response to a flaw that would have allowed the Pegasus spyware to infect a device. On Thursday, the last-minute bug fixes were rolled out for the iPhone, iPad, Apple Watch, and Mac just days ahead of Apple’s 2023 launch event on September 12.
The vulnerability was discovered and reported to Apple by The Citizen Lab, an academic research lab that analyzes security threats and other risks.
Credited by Apple for the discovery, the lab issued a report in which it described the flaw as an exploit chain, that it dubbed Blastpass, capable of compromising iPhones running the latest version of iOS (16.6) without any interaction from the user. The bug could be exploited by an attacker sending PassKit attachments with malicious images via Apple’s iMessage.
In response to the vulnerability, Apple issued two separate fixes for the iPhone and iPad labeled CVE-2023-41064 and CVE-2023-41061. The Citizen Lab urged all users to apply the fixes immediately via the latest updates to affected devices.
For iPhone and iPad users, iOS 16.6.1 and iPadOS 16.6.1 are now available to be installed on the iPhone 8 and later, all models of the iPad Pro, the iPad Air 3rd generation and later, the iPad 5th generation and later, and the iPad mini 5th generation and later. Head to Settings > General > Software Update. Tap Download and Install to apply the update.
Also: The best VPN services for iPhone and iPad in 2023: Tested and reviewed
Fixes for other Apple devices are available as well.
For Apple Watch wearers, WatchOS 9.6.2 is now waiting to be installed on the Apple Watch Series 4 and later. Open the Watch app on your iPhone, go to General and then Software Update, and then tap Download and Install.
And for Mac users, MacOS Ventura 13.5.2 is ready. For this one, click the Apple icon and select System Settings. Click General and then Software Update. Click the button to install the update.
In its report, The Citizen Lab revealed how it found the vulnerability: “Last week, while checking the device of an individual employed by a Washington DC-based civil society organization with international offices, Citizen Lab found an actively exploited zero-click vulnerability being used to deliver NSO Group’s Pegasus mercenary spyware.”
Also: Three Apple Watch Ultra 2 features that would make it an instant buy for me
A spyware tool used by Israel-based NSO Group, Pegasus has gained a level of infamy for targeting government officials, political activists, and journalists. The software works by remotely accessing a device to collect handset data, monitor conversations through messaging apps such as WhatsApp and Facebook, snoop on email exchanges and browser activity, and spy on people through a device’s camera and microphone.
The NSO Group has continually maintained that Pegasus is used for legitimate purposes by governments to track criminal and terrorist activity and monitor local and global threats. But The Citizen Lab, Amnesty International, and other groups claim that the spyware is used to target innocent people.
Potential victims of Pegasus who believe they’re being actively targeted are urged to put their iPhones or iPads into Lockdown Mode. An option available to all users, Lockdown Mode disables or limits key features and settings on a device to prevent spyware and malware from capturing sensitive data.
Also: iPhone 15: Four things make this a fun upgrade year
Pushing out updates just days in advance of a launch event is rare for Apple, which speaks to the critical nature of the vulnerability and the need to apply these fixes.
Next Tuesday, September 12, Apple is expected to raise the curtain on its new iPhone, Apple Watch, AirPods, and potentially other products. Along with the new products will be brand new versions of iOS/iPadOS, watchOS, macOS, and tvOS. Apple typically releases new versions of its respective operating systems about a week after the launch event, so expect them around September 19.
[ad_2]
