Aktywnie wykorzystywana w atakach
Apple Multiple Products Memory Corruption Vulnerability
Apple - Multiple Products · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-27930
WysokieCVSS 7.8KEVStreszczenie
Podatność polegająca na uszkodzeniu pamięci została naprawiona poprzez ulepszoną walidację danych wejściowych. Problem występuje w wielu wersjach systemów Apple: macOS, watchOS, iOS i iPadOS. Przetworzenie specjalnie spreparowanej czcionki może prowadzić do wykonania dowolnego kodu.
Ocena ryzyka
Atakujący może wykorzystać złośliwą czcionkę do wykonania dowolnego kodu na urządzeniu ofiary, co może prowadzić do przejęcia kontroli nad systemem. Wymaga to jednak otwarcia lub przetworzenia spreparowanego pliku czcionki.
Rekomendacja
Należy zaktualizować systemy Apple do najnowszych wersji: macOS Big Sur 11.0.1, watchOS 7.1, iOS 12.4.9, watchOS 6.2.9, Security Update 2020-006, iOS 14.2, iPadOS 14.2, watchOS 5.3.9, macOS Catalina 10.15.7 Supplemental Update. Unikać otwierania nieznanych plików czcionek.
Inne podatności w Apple macOS, iOS, iPadOS, watchOS
Zobacz wszystkie- CVE-2021-30807WysokieAktywnie exploitowane
Problem z uszkodzeniem pamięci został rozwiązany poprzez poprawę obsługi pamięci. Problem został naprawiony w macOS Big Sur 11.5.1, iOS 14.7.1 i iPadOS 14.7.1 oraz watchOS 7.6.1. Aplikacja może być w stanie wykonać dowolny kod z uprawnieniami jądra. Apple wie o raporcie, że ten problem mógł być aktywnie wykorzystywany.
- CVE-2020-27932WysokieAktywnie exploitowane
Podatność typu type confusion została naprawiona poprzez ulepszoną obsługę stanu. Problem występuje w wielu wersjach systemów Apple: macOS, watchOS, iOS i iPadOS. Złośliwa aplikacja może wykonać dowolny kod z uprawnieniami jądra.
Oryginalny opis (angielski, źródło NVD)
A memory corruption issue was addressed with improved input validation. This issue is fixed in macOS Big Sur 11.0.1, watchOS 7.1, iOS 12.4.9, watchOS 6.2.9, Security Update 2020-006 High Sierra, Security Update 2020-006 Mojave, iOS 14.2 and iPadOS 14.2, watchOS 5.3.9, macOS Catalina 10.15.7 Supplemental Update, macOS Catalina 10.15.7 Update. Processing a maliciously crafted font may lead to arbitrary code execution.