蘋果已修補可被Pegasus間諜軟體利用的iOS零日漏洞

語言: CN / TW / HK

週四的時候,蘋果推送了針對舊版 iOS / macOS 作業系統的安全更新。 在其修復的三個零日漏洞中,就包括了可能被 NSO Group 的 Pegasus 間諜軟體在野外利用的一個漏洞。 具體說來是,iOS 12.5.5 填補了 CoreGraphics 缺陷,可知其允許攻擊者通過惡意之作的 PDF 檔案,在目標裝置上執行任意程式碼。

從官方 支援文件 披露的詳情來看,該漏洞或已被廣泛利用。受影響的裝置型號,涵蓋了 iPhone 5s / 6 / 6 Plus、 iPad mini 2 / mini 3、以及 iPod touch 。

最先曝光 CoreGraphics 零日漏洞的 Citizen Lab,也披露了以色列 NSO Group 有藉此來部署的 Peg ASUS 惡意軟體工具。

過去幾個月,我們已經聽聞諸多與 Pegasus 間諜軟體有關的零日漏洞,據說其已被用於入侵和監視記者、活動家、甚至政府官員的 iPhone 和其它 iOS 裝置。

8 月的一篇報道,更是指出 Pegasus 可實現“零點選攻擊”—— 所謂的 ForcedEntry 攻擊向量被用於繞過 蘋果 在 Messages 訊息應用中部署的 BlastDoor 安全協議。

據說這一漏洞使得巴林人權活動家的 iPhone 12 Pro 智慧機被植入 Pegasus 間諜軟體,而後蘋果在 9 月初發布了針對受影響 iOS 14 軟體版本的修復程式。

在 Citizen Lab 喚起了公眾對於 Pegasus 被濫用的警惕之後,作為間諜軟體調查的一部分,以色列政府官員已於今年 7 月訪問了 NSO 的辦公室。