随着昨天发布的 iOS 14.4 和所有其他操作系统，Apple 已经包含了其典型的错误修复。 然而，苹果承认 iOS 14.4 修复了三个安全漏洞，该公司称这些漏洞“可能被积极利用”。 这是 Apple 首次明确承认关闭了可能在恶意攻击中被利用的安全漏洞。
Safari 和内核错误已由 iOS 14.4 修复
在此处的 iOS 14.4 安全文档中，您可以看到更新修复的三个错误的描述。 它们如下：
CVE-2021-1782：恶意应用程序可以访问内核中的提升权限。
CVE-2021-1870 和 CVE-2021-1871: 远程攻击者可以在 Webkit 中导致任意执行代码的执行。
内核是操作系统的基本部分，它允许软件的其余部分访问硬件。 Webkit 是 Apple 为 Safari 开发的浏览器引擎，可在 macOS 和 iOS 上使用。 通常，黑客会使用链中的多个漏洞来访问设备。 在这种情况下，我们有两个“钥匙”可以进入，还有一个“门”可以使用它们。
目前尚不清楚它是否已被用于针对一个或多个用户，或者是否已被大规模利用。 但是，安全说明本身指出“很快就会提供更多详细信息”。
匿名研究人员可以获得奖励
在新软件版本的安全说明中，Apple 通常会指明发现它的个人或团队。 如果没有出现直接归因，则假定它是由他们自己的团队修复的。 但在这种情况下，这三个错误都归咎于“匿名研究人员”。
在硬件和软件安全领域，通常的做法是在与公司联系并修复错误后公开公布此类错误。 这样，你在同行中获得了相关性和威望，就好像这是一条新的简历行。 这就是为什么使这三个错误已知的个人或团体的匿名性更加引人注目。
值得记住的是，每次更新都会修复错误，在某些情况下是主要错误，有助于保护我们设备的安全。
被恶意利用的安全漏洞已经不是第一次被发现了。 最臭名昭著的案例之一是 Pegasus，一组三个错误也允许访问内核。 它们被阿拉伯联合酋长国用来监视该国的一名持不同政见者，并于 2016 年夏天被 Apple 修复。
苹果前段时间推出了一项奖励计划，向那些设法破解其设备安全性的人提供金钱奖励。 奖金从绕过锁屏的 100,000 美元到管理在内核中执行代码而无需点击的 100 万美元不等。
当然，匿名举报者可以为这三个漏洞赚到几十万美元。 我们将在接下来的几周内查看是否会发现更多相关信息。