A Apple lançou uma atualização de software de emergência para corrigir uma falha de segurança Zero-Click no iMessage.
De acordo com a empresa, esta vulnerabilidade poderia permitir que hackers infectassem diretamente os dispositivos dos usuários com spyware invasivo, sem que o usuário precisasse clicar em nada.
A vulnerabilidade de segurança classificada como crítica e apelidada de "FORCEDENTRY" foi descoberta por pesquisadores do Citizen Lab, uma empresa de segurança cibernética da Universidade de Toronto.
Os pesquisadores descobriram a falha de segurança enquanto analisava o telefone de um ativista saudita anônimo que estava infectado com uma forma avançada de spyware Pegasus do Grupo NSO.
Esta é a primeira vez que um exploit de "Clique zero" foi detectado e analisado em dispositivos da Apple.
De acordo com a Citizen Lab, uma empresa mercenária de spyware chamada NSO Group explorou a vulnerabilidade e infectou remotamente os dispositivos Apple mais recentes com o spyware Pegasus.
Segundo os pesquisadores, os hackers podem estar explorando esta falha desde pelo menos fevereiro de 2021.
Durante os testes, os pesquisadores exploraram uma vulnerabilidade de estouro de número inteiro na biblioteca de renderização de imagens da Apple (CoreGraphics) e foi eficaz contra dispositivos Apple iOS, macOS e WatchOS.
A Citizen Lab encontrou o código malicioso em 7 de setembro e entrou em contato imediatamente com a Apple para notificar a falha.
Em 13 de setembro, a Apple designou o exploit FORCEDENTRY "CVE-2021-30860" e o descreveu como "processar um PDF criado com códigos maliciosos pode levar à execução arbitrária de códigos."
A empresa desenvolveu rapidamente a correção e imediatamente lançou uma atualização de software para corrigir "CVE-2021-30860".
De acordo com a Apple, os dispositivos afetados pela falha "CVE-2021-30860" são todos iPhones com versões iOS anteriores a 14.8.
Todos os computadores Mac com versões de sistema operacional anteriores a OSX Big Sur 11.6, atualização de segurança 2021-005 Catalina e todos os Apple Watches anteriores a watchOS 7.6.2.
Falando sobre a atualização, a Apple disse que "não divulga, discute ou confirma problemas de segurança até que uma investigação tenha ocorrido e patches ou lançamentos estejam disponíveis."
A Apple pediu a seus usuários que executassem imediatamente as atualizações de software mais recentes para que as correções entrassem em vigor instalando o iOS 14.8, MacOS 11.6 e WatchOS 7.6.2.
Para fazer isso, vá para "Configurações> Geral> Atualização de software". Em seguida, clique em Instalar agora ou Baixar e instalar para atualizar para o sistema operacional mais recente.
"Ataques como os descritos são altamente sofisticados, custam milhões de dólares para desenvolver, geralmente têm uma vida útil curta e são usados para atingir indivíduos específicos", disse Ivan Krstic, chefe de Engenharia e Arquitetura de Segurança da Apple.
"Embora isso signifique que eles não são uma ameaça para a esmagadora maioria de nossos usuários, continuamos a trabalhar incansavelmente para defender todos os nossos clientes e estamos constantemente adicionando novas proteções para seus dispositivos e dados", acrescentou.
A Apple está planejando adicionar barreiras de spyware para o iMessage e seu aplicativo de mensagens de texto (SMS), numa próxima atualização de software iOS 15, com lançamento previsto para este ano.
Via: Support Apple
