اخیرا، محققان امنیت سایبری گوگل جزیئات ۴ مورد از ۵ آسیب پذیری موجود در دستگاه های Apple iOS را منتشر کرده اند. مهاجمان با استفاده از این آسیب پذیری ها میتوانند تنها با ارسال یک پیام مخرب از طریق iMessage، به دستگاه قربانی نفوذ کنند.

این آسیب پذیری ها که نیازی به تعامل با کاربر ندارند، توسط دو تن از اعضای تیم Google Project Zero، به اپل گزارش شد. بروزرسانی ios به نسخه ۱۲.۴ در هفته ی گذشته برای رفع این آسیب پذیری ها بوده است.

چهار مورد از این آسیب پذیری ها ،آسیب پذیری های حافظه و بدون نیاز به تعامل با کاربر هستند که به مهاجمان امکان اجرای کد از راه دور را می دهند.

با توجه به اینکه در آخرین به روزرسانی همه این آسیب پذیری ها به طور کامل وصله نشده اند، فقط جزئیات سه مورد از آن ها در دسترس است. و جزییات آسیب پذیری (CVE-2019-8641) فعلا به صورت محرمانه نگه داشته شده است.

آسیب پذیری پنجم (CVE-2019-8646)، علاوه بر اینکه به مهاجمان اجازه میدهد با ارسال پیام مخرب از طریق iMessage کدهای دلخواه خود را بر روی دستگاه قربانی اجرا کنند، امکان دسترسی به محتوای فایل های  ذخیره شده در دستگاه قربانی را نیز فراهم میکند.

جزئیات مختصر سوء استفاده از PoC برای چهار آسیب پذیری ذکر شده:

• CVE-2019-8647 (RCE با iMessage) : یک آسیب پذیری در Core Data framework ، iOS که می تواند منجر به اجرای کد دلخواه به دلیل عدم تایید اعتبار به هنگام استفاده از روش NSArray initWithCoder شود.
• CVE-2019-8662 (RCE با iMessage) : آسیب پذیری مشابه آسیب پذیری قبل در قسمت QuickLook، ios که میتواند از راه دور توسط iMessege اجرا شود.
• CVE-2019-8660 (RCE با iMessage) : آسیب پذیری درحافظه که درCore Data framework و بخش Siri قرار دارد و در صورت بهره برداری موفقیت آمیز ، مهاجمان را قادر میسازد از راه دور کد های دلخواه خود را اجرا کنند.
• CVE-2019-8646 (FileRead با iMessage) : این آسیب پذیری درCore Data framework و بخش Siri قرار دارد. و به مهاجم اجازه میدهد از راه دور و بدون نیاز به تعامل با کاربر به محتوای فایل های ذخیره شده در دستگاه های iOS ، دسترسی پیدا کند.

در کنار این ۵ آسیب پذیری، هفته گذشته، جزییات وPoC  آسیب پذیری دیگری که مهاجمان را قادر میسازد از راه دور به فایل های دستگاه قربانی دسترسی پیدا کنند، توسط Silvanovich منتشر شد.

این آسیب پذیری با شناسه CVE-2019-8624، در قسمت  Digital Touch، watchOS  کشف شده است و نسخه های ۱ و بالاتر Apple Watch را تحت تاثیر قرار میدهد. البته این آسیب پذیری با نسخه ۵.۳ watchOS، در ماه گذشته وصله شد.

با توجه به اینکه خطر این شش آسیب پذیری جدی است، به کاربران دستگاه های IOS توصیه میشود که سیستم های خود را به آخرین نسخه موجود ارتقا دهند.

در نسخه ۱۲.۴،  IOS علاوه بر رفع آسیب پذیری ها، امکانات جدیدی از جمله انتقال بی سیم داده ها و انتقال مستقیم از آیفون قدیمی به آیفون جدید در هنگام تنظیم برای iPhone, iPad, and iPod touch ها فراهم شده است.