93← Home

CVE-2024-27834: Уязвимость неправильной аутентификации в нескольких продуктах Apple

Заголовок от Apple — Multiple Products · собрано из 6 источников

CISA заявляет, что добавила одну новую уязвимость в свой каталог Known Exploited Vulnerabilities (KEV) "на основе доказательств активной эксплуатации"[1]

По данным Rescana, CISA добавила CVE-2024-27834, уязвимость WebKit в платформах Apple, в каталог KEV 4 ноября 2026 года и предоставила федеральным агентствам до 18 ноября 2026 года для её исправления[2].The Hacker News описывает уязвимость как ошибку неправильной аутентификации (оценка CVSS: 5,5), которая может позволить злоумышленнику, уже имеющему произвольные возможности чтения и записи, обойти Pointer Authentication[3]. По сообщению издания, Apple исправила её в мае 2024 года в iOS и iPadOS 16.7.8 и 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 и Safari 17.5[3]. Издание добавляет, что уязвимость была впервые продемонстрирована как zero-day на хакерском конкурсе Pwn2Own Vancouver в марте 2024 года[3].The Hacker News говорит, что включение в каталог KEV следует за отчётом Sekoia о том, что субъекты угроз, возможно, связанные с Россией, эксплуатировали ранее исправленные уязвимости в Safari и Google Chrome[3]. По данным BleepingComputer, Sekoia с умеренной и высокой уверенностью атрибутирует операцию группе APT29 (известной также как Midnight Blizzard)[4].По данным BleepingComputer, Sekoia сообщила, что злоумышленники использовали CVE-2025-43529 и CVE-2024-27834 против iOS 16.7[4], и полезная нагрузка нацелена на cookies, хранящиеся в Safari[4].Infosecurity Magazine сообщает, что кампания доставляла цепочки эксплойтов посетителям легитимных веб-сайтов с полезными нагрузками, предназначенными для кражи cookies, данных устройства и паролей Wi-Fi без какого-либо взаимодействия со стороны пользователя[5].Gulf News сообщает, что исследователи заявили, что устройства, работающие с последними доступными обновлениями безопасности, были защищены от выявленных ими цепочек эксплойтов[6].

Слушать песнюCritical CVEs (1 of 3) — November 05, 2026

Источники

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

Каждое предложение передаёт то, что сообщило названное издание, со ссылкой. Собрано 93 из приведённых ниже материалов.

Переведено с английского выпуска. Цитаты ведут к оригинальным материалам.

Эта тема, день за днём

CVE-2024-27834: Уязвимость неправильной аутентификации в нескольких продуктах Apple | 93