Apple 迅速发布了针对 macOS 和 iOS 的重要安全更新，以修复已在针对基于 Intel 的 Mac 系统的零日攻击中被利用的两个漏洞。 Google 的威胁分析小组 (TAG) 已查明这些漏洞，这些漏洞尤其成问题，因为它们处理可能导致重大安全问题的有害 Web 内容。
零日威胁暴露
被追踪为 CVE-2024-44308 和 CVE-2024-44309 的漏洞由于潜在的任意代码执行和跨站点脚本 (XSS) 攻击而构成严重威胁。
- CVE-2024-44308 与 JavaScriptCore 相关，其中处理恶意制作的 Web 内容可能允许攻击者执行任意代码。 Apple 已获悉有关此问题可能已在基于 Intel 的 Mac 上被利用的报告。
- CVE-2024-44309 涉及 WebKit，表明类似的策略可能会导致 XSS 攻击。苹果再次提到了对基于英特尔的 Mac 系统的积极利用的认识。
由于苹果公司在被利用时缺乏意识，这些漏洞被标记为“零日”，从而加剧了情况。当然，这些攻击有可能危及用户信息和设备的完整性，这凸显了用户确认其设备安全的重要性。
为什么 Apple 的最新更新对于您的设备安全至关重要
苹果建议其生态系统中的所有用户快速安装最新的软件更新：iOS 18.1.1、macOS Sequoia 15.1.1 和旧版 iOS 17.7.2。苹果的快速反应凸显了漏洞威胁的严重性。
苹果没有透露有关攻击或妥协指标 (IOC) 的详细信息，但安全专业人士认为，由于 TAG 的参与，这些攻击可能与国家资助的行为者有关。该团队研究国家支持的黑客攻击和网络攻击，并对特定的高级危险表示担忧。
这两个漏洞尤其令人担忧，因为它们针对的是驱动 Apple Safari 浏览器并处理 Web 内容的 Web 引擎——WebKit 和 JavaScriptCore。过去，恶意黑客被吸引到 WebKit 来利用其漏洞并访问更多设备功能和用户数据。
近期发生的网络威胁并非个别事件。本月早些时候，来自朝鲜的网络犯罪分子针对参与窃取加密货币的 macOS 用户启动了一项新计划。该活动利用网络钓鱼电子邮件和虚假 PDF 应用程序，利用巧妙的策略绕过 Apple 的安全措施，展示了这些威胁的持续性和变化性。
安全专家强调，随着网络攻击持续存在并引发警报，保持警惕的重要性。用户必须积极安装软件更新，并对可能危及设备安全的网络钓鱼诈骗保持警惕。
这个场景强调了网络安全是每个人都必须参与的责任。苹果生态系统中的用户应该保持警惕并定期更新他们的设备，因为苹果对任何问题都会快速响应。
特色图片来源：MEHRAX/Unsplash
苹果遭受两个危险的零日漏洞的帖子首先出现在 TechBriefly 上。
Source: 苹果遭遇两个危险的零日漏洞