[[343702]]

蘋(píng)果發(fā)布了iOS和iPadOS操作系統(tǒng)的更新，修復(fù)了多個(gè)安全性問(wèn)題。

通過(guò)此安全更新，Apple 解決了 AppleAVD，Apple Keyboard，WebKit和Siri等各種產(chǎn)品和組件中的11個(gè)漏洞。

在已修復(fù)的漏洞中，嚴(yán)重性最高的是CVE-2020-9992，它允許攻擊者在系統(tǒng)上執(zhí)行任意代碼。

高危漏洞– CVE-2020-9992

來(lái)自IBM X-Force的安全研究人員發(fā)現(xiàn)了一個(gè)重要漏洞，該漏洞使攻擊者能夠提升蘋(píng)果iOS和iPadOS權(quán)限，從而影響設(shè)備。

該漏洞是由于IDE設(shè)備支持組件中的錯(cuò)誤所致，可以將其跟蹤為CVE-2020-9992，以執(zhí)行需要用戶交互的代碼。

公告寫(xiě)道，

通過(guò)引導(dǎo)受害者打開(kāi)特制文件，攻擊者可以利用此漏洞在網(wǎng)絡(luò)上的調(diào)試會(huì)話期間在配對(duì)設(shè)備上執(zhí)行任意代碼。

蘋(píng)果通過(guò)加密網(wǎng)絡(luò)與運(yùn)行iOS 14、iPadOS 14、tvOS 14和watchOS 7的設(shè)備之間的通信，修復(fù)了該漏洞。

其他漏洞修復(fù)

· AppleAVD/ CVE-2020-9958

適用于以下設(shè)備的更新：iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本。

該漏洞影響應(yīng)用程序可能會(huì)導(dǎo)致系統(tǒng)意外終止或?qū)懭雰?nèi)核內(nèi)存。

· Assets/ CVE-2020-9979

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

通過(guò)利用此漏洞，攻擊者可能會(huì)濫用信任關(guān)系來(lái)下載惡意內(nèi)容。

· Icons/ CVE-2020-9773

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

惡意應(yīng)用程序可能會(huì)識(shí)別用戶安裝了哪些其他應(yīng)用程序。

· IOSurfaceAccelerator/ CVE-2020-9964

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

本地用戶可能會(huì)讀取內(nèi)核內(nèi)存。

· Icons/ CVE-2020-9976

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

惡意應(yīng)用程序可能會(huì)泄漏敏感的用戶信息。

· Model I/O/ CVE-2020-9973

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

處理惡意制作的USD文件可能會(huì)導(dǎo)致應(yīng)用程序意外終止或任意代碼執(zhí)行。

· Phone/ CVE-2020-9946

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

在指定的時(shí)間后，屏幕鎖定可能不會(huì)起作用。

· Sandbox/ CVE-2020-9968

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

惡意應(yīng)用程序可能會(huì)訪問(wèn)受限制的文件。

· Siri/ CVE-2020-9959

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

對(duì)iOS設(shè)備具有物理訪問(wèn)權(quán)限的人可以從鎖屏查看通知內(nèi)容。

· WebKit/ CVE-2020-9952

適用于iPhone 6s和更高版本，iPod touch第7代，iPad Air 2和更高版本以及iPad mini 4和更高版本的更新。

處理惡意制作的Web內(nèi)容可能會(huì)導(dǎo)致跨站點(diǎn)腳本攻擊（XSS）。