لقد أصلحت Apple و Google و Microsoft عيوب أمان Zero-Day

عمالقة التكنولوجيا أبل ، أصلحت كل من Microsoft و Google ثغرات أمنية كبيرة في أبريل ، تم استخدام الكثير منها بالفعل في هجمات حقيقية. تشمل الشركات الأخرى التي ستصدر تصحيحات متصفح Firefox الذي يركز على الخصوصية وموفري برامج المؤسسات SolarWinds و Oracle.

إليك كل ما تحتاج لمعرفته حول التصحيحات التي تم إصدارها في أبريل.

تفاحة

حار في أعقاب iOS 16.4أصدرت شركة آبل نظام التشغيل iOS 16.4.1 تحديث لإصلاح ثغرتين تم استخدامهما بالفعل في الهجمات. CVE-2023-28206 هي مشكلة في IOSurface Accelerator والتي يمكن أن ترى تطبيقًا قادرًا على تنفيذ التعليمات البرمجية بامتيازات kernel ، كما قالت Apple في صفحة الدعم.

CVE-2023-28205 هي مشكلة في WebKit ، المحرك الذي يشغل متصفح Safari ، والتي قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية. في كلتا الحالتين ، يقول صانع iPhone ، “Apple على علم بتقرير يفيد بأن هذه المشكلة ربما تم استغلالها بشكل نشط.”

يعني الخطأ أن زيارة موقع ويب مفخخ قد يمنح مجرمي الإنترنت التحكم في متصفحك – أو أي تطبيق يستخدم WebKit لعرض محتوى HTML وعرضه ، كما يقول Paul Ducklin ، الباحث الأمني ​​في شركة الأمن السيبراني سوفوس.

تم الإبلاغ عن الخطأين اللذين تم إصلاحهما في iOS 16.4.1 بواسطة مجموعة تحليل التهديدات من Google ومختبر الأمن التابع لمنظمة العفو الدولية. مع أخذ ذلك في الاعتبار ، يعتقد دوكلين أنه كان من الممكن استخدام الثغرات الأمنية لزرع برامج التجسس.

أصدرت شركة آبل أيضا iOS 15.7.5 لمستخدمي أجهزة iPhone القديمة لإصلاح نفس العيوب التي تم استغلالها بالفعل. وفي الوقت نفسه ، أصدرت الشركة المصنعة لأجهزة iPhone macOS Ventura 13.3.1 و Safari 16.4.1 و macOS Monterey 12.6.5 و macOS Big Sur 11.7.6.

مايكروسوفت

لم تكن Apple الشركة التقنية الكبيرة الوحيدة التي أصدرت تصحيحات طارئة في أبريل. أصدرت Microsoft أيضًا إصلاحًا عاجلاً كجزء من تحديث يوم الثلاثاء التصحيح لهذا الشهر. CVE-2023-28252 هو خطأ في رفع الامتياز في برنامج تشغيل نظام ملفات سجل Windows المشترك. قالت مايكروسوفت إن المهاجم الذي نجح في استغلال الخلل يمكن أن يحصل على امتيازات النظام استشاري.

عيب آخر ملحوظ ، CVE-2023-21554 ، هو ثغرة أمنية عن بعد في تنفيذ التعليمات البرمجية في Microsoft Message Queuing التي تم تصنيفها على أنها ذات تأثير خطير. لاستغلال الثغرة الأمنية ، سيحتاج المهاجم إلى إرسال حزمة MSMQ ضارة إلى خادم MSMQ ، حسبما قالت Microsoft ، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد على جانب الخادم.

كان الإصلاح جزءًا من عدد كبير من التصحيحات لـ 98 ثغرة أمنية ، لذلك يجدر التحقق من الإرشادات والتحديث في أقرب وقت ممكن.

جوجل أندرويد

أصدرت Google تصحيحات متعددة لنظام التشغيل Android الخاص بها ، حيث أصلحت العديد من الثغرات الخطيرة. قالت جوجل في تقريرها إن أخطر خطأ هو ثغرة أمنية خطيرة في مكون النظام والتي يمكن أن تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد دون الحاجة إلى امتيازات تنفيذ إضافية. نشرة أمان Android. تفاعل المستخدم ليس ضروريًا للاستغلال.

تتضمن المشكلات المصححة 10 في إطار العمل ، بما في ذلك ثمانية عيوب تتعلق برفع الامتياز ، وتسع مشكلات أخرى تم تصنيفها على أنها شديدة الخطورة. أصلحت Google 16 خطأً في النظام بما في ذلك عيبان حرجان في RCE والعديد من المشكلات في مكونات kernel و SoC.

يتضمن التحديث أيضًا عدة خاص بالبكسل التصحيحات ، بما في ذلك عيب ارتفاع الامتياز في النواة المتعقبة كـ CVE-2023-0266. يتوفر تصحيح Android April لأجهزة Google بالإضافة إلى الطرز مشتمل سلسلة Galaxy S من Samsung جنبًا إلى جنب مع سلسلة Fold و Flip.

جوجل كروم

في بداية أبريل ، أصدرت Google ملف رقعة لإصلاح 16 مشكلة في متصفح Chrome الشهير ، بعضها خطير. تشمل العيوب المصححة CVE-2023-1810 ، مشكلة تجاوز سعة المخزن المؤقت في المرئيات المصنفة على أنها ذات تأثير كبير ، و CVE-2023-1811 ، ثغرة أمنية خالية من الاستخدام في الإطارات. تم تصنيف الأخطاء الأمنية الـ 14 المتبقية على أنها ذات تأثير متوسط ​​أو منخفض.

في منتصف الشهر ، اضطرت Google إلى إصدار تحديث طارئ ، هذه المرة لإصلاح خطأين ، أحدهما مستخدم بالفعل في هجمات واقعية. CVE-2023-2033 هو نوع من خلل الارتباك في محرك جافا سكريبت V8. قال عملاق البرمجيات على موقعه على الإنترنت: “تدرك Google أن استغلال CVE-2023-2033 موجود في البرية”. مدونة.

بعد أيام فقط ، جوجل مطلق سراحه تصحيح آخر ، إصلاح المشكلات بما في ذلك خطأ آخر في يوم الصفر تم تتبعه مثل CVE-2023-2136 ، خطأ تجاوز عدد صحيح في محرك رسومات Skia.