A Apple acaba de lançar uma atualização para produtos, incluindo iPhones, iPads, computadores Mac e Apple Watches. Instamos todos os usuários a atualizarem imediatamente seus dispositivos. A Apple descobriu uma vulnerabilidade de clique zero sendo explorada para distribuir o spyware mercenário Pegasus do NSO Group. No último mês, durante uma verificação em um dispositivo de um indivíduo empregado por uma organização da sociedade civil com escritórios internacionais em Washington DC, o Citizen Lab encontrou essa vulnerabilidade em uso ativo. O ataque, chamado de BLASTPASS, conseguia comprometer iPhones com a versão mais recente do iOS (16.6) sem qualquer interação da vítima. O ataque envolvia anexos PassKit contendo imagens maliciosas enviadas de uma conta de iMessage do atacante para a vítima. Esperamos publicar uma discussão mais detalhada sobre a cadeia de exploração no futuro. O Citizen Lab prontamente comunicou suas descobertas à Apple e auxiliou em sua investigação. A Apple emitiu duas CVEs relacionadas a essa cadeia de exploração (CVE-2023-41064 e CVE-2023-41061). Instamos a todos a atualizarem imediatamente seus dispositivos. Encorajamos aqueles que possam enfrentar riscos aumentados devido a quem são ou o que fazem a habilitar o Modo de Bloqueio, pois acreditamos que ele bloqueia esse ataque específico. Elogiamos a rápida resposta investigativa e o ciclo de correções da Apple, e reconhecemos a vítima e sua organização por sua colaboração e assistência. Essa descoberta mais recente mostra mais uma vez que a sociedade civil é alvo de explorações altamente sofisticadas e spyware mercenário. A atualização da Apple protegerá dispositivos de usuários comuns, empresas e governos ao redor do mundo. A descoberta do BLASTPASS destaca o valor incrível para nossa cibersegurança coletiva de apoiar organizações da sociedade civil. Nota: O post foi atualizado às 17h42 do horário da costa leste dos EUA, em 7 de setembro, para refletir que a equipe de Engenharia e Arquitetura de Segurança da Apple e o Citizen Lab acreditam que o Modo de Bloqueio bloqueia esse ataque específico.