苹果紧急修复已遭 NSO Group 利用的 iMessage 0day以及另一个0day
编译：代码卫士
该漏洞的编号为CVE-2021-30860，存在于用于 2D 图片的苹果组件CoreGraphics 中。遭利用后，NSO 集团的客户可将恶意构造的 PDF 文件发送到受害者的苹果设备中，并运行恶意代码以接管系统。
加拿大多伦多大学公民实验室发现了该 0day，并分别在8月份和今天发布报告指出，发现 ForcedEntry 被部署在巴林和沙特阿拉伯活动家的iPhone 中。
研究人员指出，该利用至少在今年2月份就用于攻击中。在8月份发布的报告中，公民实验室指出 NSO 集团开发 ForcedEntry 的目的似乎是绕过苹果公司在2020年秋天在 iOS 14 中新增的一个安全新特性 BlastDoor。
另外，苹果还在今天修复了另外一个 0day，编号为 CVE-2021-30858。
该漏洞由匿名研究员发现，影响 Safari 的 WebKit 浏览器引擎，同时也被在野利用但具体详情并未公开。
该漏洞的补丁已发布，适用于 macOS、iOS 和 iPadOS。
这两个0day是苹果公司在今年修复的第14个和第15个0day。
苹果发布声明称，“发现该 exploit 在 iMessage 中利用的漏洞后，苹果公司迅速开发并在 iOS 14.8 中部署修复方案，保护用户安全。我们感谢公民实验室成功地补充了获取该利用样本的艰难工作，使得我们能够快速开发出该修复方案。此类攻击高度复杂，需要数百万美元的开发成本，通常保质期较短，用于定向攻击具体的个体。虽然这意味着对于大多数用户而言并非重大威胁，但我们将继续竭尽全力保护所有客户的安全，而且我们将不断增强对客户设备和数据的防护措施。”
@whyseu @。@HFwuhome@惊蛰 @nimo @XuZ @淡然 @Marco韬 @王孟 @Wecat@nwnλ @MOBE @湘北二两西香葱@※ @搬砖小土妞@云烟过眼 @r00t@小风 @傲雪@最好走的路是套路 @Zhao.xiaojun @浅笑淡然 @X-Star @Erick2013 @小秦同学 @X @王骏 @欢寻 @nbp@Mr. Guo
如下是本书相关讲解:
微软警告：Office 已遭IE RCE 新0day 攻击
苹果修复今年以来的第13个0day，影响iOS 和 macOS
苹果修复老旧设备中的两个 iOS 0day
https://therecord.media/apple-releases-patches-for-nso-groups-forcedentry-zero-day/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。