93← Home

CVE-2024-27834: Вразливість неналежної аутентифікації в кількох продуктах Apple

Заголовок від Apple — Multiple Products · зібрано з 6 джерел

CISA повідомила, що додала одну нову вразливість до каталогу відомих скомпрометованих вразливостей (KEV) "на основі доказів активного використання"[1]

Згідно з Rescana, CISA додала CVE-2024-27834, вразливість WebKit у платформах Apple, до каталогу KEV 4 листопада 2026 року та дала федеральним агентствам час до 18 листопада 2026 року для її виправлення[2].The Hacker News описує цю вразливість як помилку неналежної аутентифікації (оцінка CVSS: 5.5), яка могла б дозволити зловмисникові, який уже має довільні можливості читання та запису, обійти Pointer Authentication[3]. Видання повідомляє, що Apple виправила це в травні 2024 року в iOS та iPadOS 16.7.8 та 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 та Safari 17.5[3]. Додається, що помилку вперше продемонстрували як zero-day на хакерському змаганні Pwn2Own Vancouver в березні 2024 року[3].The Hacker News каже, що внесення в каталог KEV слідує звіту Sekoia про те, що зловмисники, можливо, пов'язані з Росією, використовували раніше виправлені вразливості в Safari та Google Chrome[3]. BleepingComputer повідомляє, що Sekoia з помірною до високою впевненістю приписує цю операцію APT29 (також відома як Midnight Blizzard)[4].За даними BleepingComputer, Sekoia сказала, що зловмисники використали CVE-2025-43529 та CVE-2024-27834 проти iOS 16.7[4], а корисне навантаження спрямоване на файли cookie, збережені в Safari[4].Infosecurity Magazine повідомляє, що кампанія розповсюджувала ланцюги експлуатації відвідувачам легітимних веб-сайтів з корисними навантаженнями, побудованими для крадіжки файлів cookie, даних пристрою та паролів Wi-Fi без будь-якої взаємодії користувача[5].Gulf News повідомляє, що дослідники сказали, що пристрої з найновішими доступними оновленнями безпеки були захищені від ланцюгів експлуатації, які вони виявили[6].

Слухати піснюCritical CVEs (1 of 3) — November 05, 2026

Джерела

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

Кожне речення передає те, що повідомило назване видання, з посиланням. Зібрано 93 з наведених нижче матеріалів.

Перекладено з англійського випуску. Цитати ведуть до оригінальних матеріалів.

Ця тема, день за днем

CVE-2024-27834: Вразливість неналежної аутентифікації в кількох продуктах Apple | 93