Apple vừa phát hành hai bản cập nhật bảo mật khẩn cấp iOS 15.8.7 và iOS 16.7.15, dành cho các mẫu iPhone đời cũ nhằm khắc phục một số lỗ hổng đang bị tin tặc khai thác trong chiến dịch phần mềm gián điệp mang tên Coruna.
Thông thường, Apple không công bố quá nhiều chi tiết về các lỗ hổng được vá trong bản cập nhật iOS, nhằm tạo thêm thời gian để người dùng cài đặt bản vá trước khi kẻ tấn công kịp khai thác thông tin kỹ thuật. Tuy nhiên, lần này hãng đã đưa ra ngoại lệ khi xác nhận rõ ràng trong ghi chú phát hành rằng hai bản cập nhật trên liên quan trực tiếp đến lỗ hổng bảo mật Coruna.
Các lỗ hổng được vá trong iOS 16.7.15
Trên trang hỗ trợ chính thức, Apple cho biết bản cập nhật iOS 16.7.15 và iPadOS 16.7.15 khắc phục một lỗ hổng trong WebKit – nền tảng của trình duyệt Safari. Lỗ hổng này được theo dõi với mã CVE-2023-43010.
Nếu người dùng truy cập hoặc xử lý nội dung web được tạo ra một cách độc hại, kẻ tấn công có thể lợi dụng lỗ hổng để gây lỗi hỏng bộ nhớ trên thiết bị. Theo Apple, lỗ hổng này trước đó đã được vá trong iOS 17.2 phát hành ngày 11/12/2023, và bản cập nhật mới nhằm mang bản vá đến các thiết bị không thể nâng cấp lên phiên bản iOS mới hơn.
Bản cập nhật iOS 16.7.15 hiện khả dụng cho các thiết bị như iPhone 8, iPhone 8 Plus, iPhone X, cùng một số mẫu iPad như iPad Pro 9.7-inch và iPad Pro 12.9-inch (1st generation). Đây là những thiết bị được xếp vào nhóm “cổ điển” nhưng vẫn nhận các bản vá bảo mật quan trọng.
Ảnh minh họa
Các lỗi được khắc phục trong iOS 15.8.7
Trong khi đó, iOS 15.8.7 và iPadOS 15.8.7 xử lý một lỗ hổng trong nhân hệ điều hành iOS cùng ba lỗ hổng khác liên quan đến WebKit.
Lỗ hổng trong nhân hệ điều hành có mã CVE-2023-41974 có thể cho phép một ứng dụng thực thi mã tùy ý với quyền quản trị Kernel. Ngoài ra, lỗ hổng WebKit CVE-2024-23222 có thể dẫn tới việc thực thi mã từ xa, trong khi CVE-2023-43000 và CVE-2023-43010 liên quan đến nguy cơ hỏng bộ nhớ khi thiết bị xử lý nội dung web độc hại.
Bản cập nhật iOS 15.8.7 hiện được phát hành cho các thiết bị cũ hơn như iPhone 6s, iPhone 7, iPhone SE (1st generation), iPad Air 2, iPad mini (4th generation) và iPod touch (7th generation).
Chuyên gia cảnh báo cần cập nhật ngay
Tiến sĩ Martin Kraemer, cố vấn CISO tại KnowBe4, cho rằng các bản vá này “cực kỳ cấp thiết” và khuyến cáo người dùng cài đặt càng sớm càng tốt. Ông cảnh báo lỗ hổng có thể bị khai thác mà không cần tương tác từ người dùng - chỉ cần truy cập một trang web độc hại trên iPhone chưa cập nhật là thiết bị có thể bị xâm nhập.
Theo Shane Barney, Giám đốc An ninh Thông tin tại Keeper Security, bộ công cụ tấn công Coruna kết hợp nhiều lỗ hổng trong các thành phần như Kernel và WebKit, cho phép nội dung web độc hại kích hoạt thực thi mã hoặc gây hỏng bộ nhớ trên thiết bị.
Ông cho biết kiểu tấn công theo chuỗi này phản ánh xu hướng mới trong an ninh mạng, khi các nghiên cứu khai thác lỗ hổng phức tạp được đóng gói thành những bộ công cụ có thể được nhiều tác nhân sử dụng lại.
Người dùng nên làm gì?
Các chuyên gia cho rằng việc cập nhật iOS vẫn là cách đáng tin cậy nhất để vô hiệu hóa những chuỗi khai thác dựa trên các lỗ hổng chưa được vá. Trong một số trường hợp rủi ro cao, người dùng cũng nên cân nhắc các biện pháp bảo vệ bổ sung như khóa bảo mật phần cứng và xác thực đa yếu tố mạnh.
Người dùng có thể kiểm tra và cài đặt bản cập nhật bằng cách vào Cài đặt → Cài đặt chung → Cập nhật phần mềm để nâng cấp thiết bị lên iOS 15.8.7 hoặc iOS 16.7.15 sớm nhất có thể.
