Bleeping Computer 網(wǎng)站消息，CISA 近期警告稱，一個影響蘋果 iPhone、Mac、 TVs 和手表的內(nèi)核安全漏洞正在被威脅攻擊者積極利用。

據(jù)悉，漏洞被追蹤為 CVE-2022-48618，由蘋果公司的安全研究人員發(fā)現(xiàn)并上報，但令人疑惑的是直到2024 年 1 月 9 日才在 2022 年 12 月發(fā)布的安全公告更新中披露。目前，蘋果公司尚未透露 CVE-2022-48618 漏洞是否在兩年前首次發(fā)布安全公告時被悄悄修補過。

蘋果公司方面透露，具有任意“讀寫”能力的威脅攻擊者能夠利用 CVE-2022-48618 漏洞繞過指針驗證，該安全功能旨在阻止試圖利用內(nèi)存損壞漏洞的網(wǎng)絡(luò)攻擊，在 iOS 15.7.1 之前發(fā)布的 iOS 版本中，CVE-2022-48618 漏洞可能已經(jīng)被利用了。

受 CVE-2022-48618 漏洞影響的蘋果設(shè)備非常多，主要包括以下幾種型號：

• iPhone 8 及更新機型、iPad Pro(所有機型)、iPad Air 第三代及更新機型、iPad 第五代及更新機型和 iPad mini 第五代及更新機型;
• 運行 macOS Ventura 的 Mac;
• Apple TV 4K、Apple TV 4K(第二代及更新機型)和 Apple TV HD;
• Apple Watch Series 4 及更高版本。

蘋果公司改進了對運行 iOS 16.2 或更高版本、iPadOS 16.2 或更晚版本、macOS Ventura 或更新版本、tvOS 16.2 或更低版本以及 watchOS 9.2 或更高級別的設(shè)備檢查，解決了 CVE-2022-48618 漏洞問題。

美國勒令聯(lián)邦機構(gòu)在 2 月 21 日前打補丁

雖然蘋果公司尚未分享有關(guān) CVE-2022-48618 漏洞在野外是否被利用的更多細節(jié)，但 CISA 已將該漏洞添加到其已知漏洞目錄中，并且命令美國聯(lián)邦機構(gòu)按照 2021 年 11 月發(fā)布的約束性操作指令 (BOD 22-01) 的要求，在 2 月 21 日前修補 CVE-2022-48618 漏洞。

近期，蘋果漏洞頻出。上周，蘋果公司發(fā)布了安全更新，修補了今年首個在網(wǎng)絡(luò)攻擊中被利用的零日漏洞（CVE-2024-23222）。該漏洞是一個 WebKit 混亂問題，威脅攻擊者可利用其在有漏洞的 iPhone、Mac 和蘋果電視上執(zhí)行代碼。

同一天，蘋果公司還向舊版 iPhone 和 iPad 機型回傳了針對另外兩個 WebKit 零日漏洞的安全更新補丁，這兩個漏洞分別被追蹤為 CVE-2023-42916 和 CVE-2023-42917，已經(jīng)在 11 月份為較新的設(shè)備打上更新補丁了。

參考文章：https://www.bleepingcomputer.com/news/security/cisa-warns-of-patched-iphone-kernel-bug-now-exploited-in-attacks/