ไม่กี่วันหลังจาก Google Apple เผย Zero-Day ที่ใช้ประโยชน์ใน Browser Engine

เผยแพร่ซ้ำโดยเพลโต

ผู้ติดตาม: 0

Apple ได้แก้ไขข้อบกพร่องแบบ Zero-day ที่ถูกใช้ประโยชน์อย่างแข็งขันในกลไกเบราว์เซอร์ WebKit สำหรับ Safari

จุดบกพร่องที่ได้รับมอบหมายให้เป็น CVE-2024-23222, เกิดจากก ข้อผิดพลาดความสับสนในการพิมพ์ซึ่งโดยพื้นฐานแล้วคือสิ่งที่เกิดขึ้นเมื่อแอปพลิเคชันสันนิษฐานว่าอินพุตที่ได้รับนั้นเป็นประเภทใดประเภทหนึ่งโดยไม่ได้ตรวจสอบจริงหรือตรวจสอบไม่ถูกต้อง ในกรณีนี้

ใช้ประโยชน์อย่างแข็งขัน

เมื่อวานนี้ Apple อธิบายช่องโหว่นี้ว่าเป็นสิ่งที่ผู้โจมตีสามารถใช้เพื่อเรียกใช้โค้ดที่กำหนดเองบนระบบที่ได้รับผลกระทบ “Apple ทราบถึงรายงานว่าปัญหานี้อาจถูกนำไปใช้ประโยชน์” คำแนะนำของบริษัทระบุ โดยไม่ได้ให้รายละเอียดเพิ่มเติมใดๆ

บริษัท ได้เปิดตัว รุ่นที่อัพเดท ของ iOS, iPadOS, macOS, iPadOS และ tvOS พร้อมการตรวจสอบความถูกต้องเพิ่มเติมเพื่อแก้ไขช่องโหว่

CVE-2024-23222 เป็นช่องโหว่แบบ Zero-day แรกที่ Apple เปิดเผยใน WebKit ในปี 2024 เมื่อปีที่แล้ว บริษัทได้เปิดเผยจุดบกพร่องแบบ Zero-day จำนวน 11 จุดในเทคโนโลยี ซึ่งมากที่สุดในรอบปีปฏิทินเดียว ตั้งแต่ปี 2021 เป็นต้นมา Apple ได้เปิดเผยข้อบกพร่องแบบ Zero-day ของ WebKit รวม 22 รายการ โดยเน้นถึงความสนใจที่เพิ่มขึ้นในเบราว์เซอร์จากทั้งนักวิจัยและผู้โจมตี

ในขณะเดียวกัน การเปิดเผย WebKit ใหม่แบบ Zero-day ของ Apple ตามมาด้วยการเปิดเผยของ Google เมื่อสัปดาห์ที่แล้ว ซีโร่เดย์ใน Chrome. นับเป็นครั้งที่สามเป็นอย่างน้อยในช่วงหลายเดือนที่ผ่านมาที่ผู้จำหน่ายทั้งสองรายเปิดเผยข้อมูลศูนย์วันในเบราว์เซอร์ของตนโดยอยู่ใกล้กัน แนวโน้มดังกล่าวชี้ให้เห็นว่านักวิจัยและผู้โจมตีกำลังตรวจสอบข้อบกพร่องในเทคโนโลยีทั้งสองเกือบเท่าๆ กัน เนื่องจากอาจเป็นเพราะ Chrome และ Safari ก็เป็นเบราว์เซอร์ที่ใช้กันอย่างแพร่หลายเช่นกัน

ภัยคุกคามจากการสอดแนม

Apple ยังไม่ได้เปิดเผยลักษณะของกิจกรรมการหาประโยชน์ที่มีเป้าหมายไปที่จุดบกพร่องแบบ Zero-day ที่เพิ่งเปิดเผย แต่นักวิจัยรายงานว่าพบผู้จำหน่ายสปายแวร์เชิงพาณิชย์ใช้งานซอฟต์แวร์ล่าสุดของบริษัทในทางที่ผิด โดยทิ้งซอฟต์แวร์เฝ้าระวังบน iPhone ของกลุ่มเป้าหมาย

ในเดือนกันยายน 2023 Citizen Lab ของมหาวิทยาลัยโตรอนโตได้เตือน Apple เกี่ยวกับ ช่องโหว่แบบ Zero-day แบบไม่คลิกจำนวน 2 รายการ ใน iOS ที่ผู้จำหน่ายซอฟต์แวร์เฝ้าระวังได้ใช้ประโยชน์จากการปล่อยเครื่องมือสปายแวร์ Predator บน iPhone ที่เป็นของพนักงานในองค์กรในกรุงวอชิงตัน ดี.ซี. ในเดือนเดียวกันนั้น นักวิจัยของ Citizen Lab ยังได้รายงานกลุ่มช่องโหว่แบบ Zero-day ซึ่งรวมถึงข้อบกพร่องของ Safari ด้วย พวกเขาค้นพบว่ากำหนดเป้าหมายไปที่อุปกรณ์ iOS

Google ได้แจ้งข้อกังวลที่คล้ายกันใน Chrome ซึ่งเกือบจะสอดคล้องกับ Apple ในบางโอกาสเมื่อเร็ว ๆ นี้ ตัวอย่างเช่น ในเดือนกันยายน 2023 ในช่วงเวลาใกล้เคียงกันที่ Apple เปิดเผยจุดบกพร่องแบบ Zero-day นักวิจัยจากกลุ่มวิเคราะห์ภัยคุกคามของ Google ระบุว่าบริษัทซอฟต์แวร์เชิงพาณิชย์ชื่อ Intellexa เป็นผู้พัฒนาห่วงโซ่ช่องโหว่ ซึ่งรวมถึง Chrome แบบ Zero-day (CVE-2023-4762) — เพื่อติดตั้ง Predator บนอุปกรณ์ Android เมื่อไม่กี่วันก่อนหน้านี้ Google ได้เปิดเผยอีกซีโรเดย์ใน Chrome (CVE-2023-4863) ในไลบรารีการประมวลผลรูปภาพเดียวกันกับที่ Apple เปิดเผยค่าซีโรเดย์

Lionel Litty หัวหน้าสถาปนิกด้านความปลอดภัยของบริษัทรักษาความปลอดภัยเบราว์เซอร์ Menlo Security กล่าวว่าเป็นการยากที่จะบอกว่ามีความเชื่อมโยงระหว่าง Google และเบราว์เซอร์ตัวแรกของ Apple แบบ Zero-Day ในปี 2024 หรือไม่ เนื่องจากปัจจุบันมีข้อมูลที่จำกัด “Chrome CVE อยู่ในเอ็นจิ้น JavaScript (v8) และ Safari ใช้เครื่องมือ JavaScript อื่น” Litty กล่าว “อย่างไรก็ตาม ไม่ใช่เรื่องแปลกที่การใช้งานที่แตกต่างกันจะมีข้อบกพร่องที่คล้ายคลึงกันมาก”

เมื่อผู้โจมตีพบจุดอ่อนในเบราว์เซอร์หนึ่งแล้ว พวกเขาก็จะตรวจสอบเบราว์เซอร์อื่นๆ ในพื้นที่เดียวกัน Litty กล่าว “ดังนั้น แม้ว่านี่จะไม่น่าเป็นไปได้ที่ช่องโหว่นี้จะเหมือนกันทุกประการ แต่ก็ไม่น่าแปลกใจนักหากมี DNA ที่ใช้ร่วมกันระหว่างช่องโหว่ทั้งสองที่เกิดขึ้นในป่า”

การระเบิดของการโจมตีแบบฟิชชิ่งผ่านเบราว์เซอร์แบบ Zero-Hour

ผู้จำหน่ายระบบกล้องวงจรปิดไม่ใช่เพียงกลุ่มเดียวที่พยายามใช้ประโยชน์จากช่องโหว่ของเบราว์เซอร์และเบราว์เซอร์โดยทั่วไป ตามรายงานที่จะเปิดตัวเร็วๆ นี้จาก Menlo Security พบว่ามีการโจมตีแบบฟิชชิ่งบนเบราว์เซอร์เพิ่มขึ้น 198% ในช่วงครึ่งหลังของปี 2023 เมื่อเทียบกับช่วงหกเดือนแรกของปี การโจมตีแบบหลบเลี่ยง - หมวดหมู่ที่ Menlo อธิบายว่าเป็นการใช้เทคนิคในการหลบเลี่ยงการควบคุมความปลอดภัยแบบเดิม - เพิ่มขึ้นถึง 206% และคิดเป็น 30% ของการโจมตีผ่านเบราว์เซอร์ทั้งหมดในช่วงครึ่งหลังของปี 2023

ตลอดระยะเวลา 30 วัน Menlo กล่าวว่าตรวจพบการโจมตีแบบฟิชชิ่งบนเบราว์เซอร์มากกว่า 11,000 ครั้งที่เรียกว่า "ศูนย์ชั่วโมง" ซึ่งหลบเลี่ยง Secure Web Gateway และเครื่องมือตรวจจับภัยคุกคามปลายทางอื่นๆ

“เบราว์เซอร์คือแอปพลิเคชันทางธุรกิจที่องค์กรต่างๆ ขาดไม่ได้ แต่มันก็ล้าหลังในแง่ของความปลอดภัยและการจัดการ” Menlo กล่าวในรายงานที่กำลังจะมีขึ้น