A Apple anunciou atualizações de segurança para seus sistemas operacionais iOS, iPadOS, macOS e para o navegador Safari, com o objetivo de corrigir duas vulnerabilidades críticas que vinham sendo exploradas ativamente em versões anteriores dos softwares. As falhas, localizadas no motor de navegador WebKit, foram identificadas como CVE-2023-42916 e CVE-2023-42917. A primeira, uma falha de leitura fora dos limites, poderia ser usada para vazar informações sensíveis durante o processamento de conteúdo web. Já a segunda, um bug de corrupção de memória, poderia resultar na execução de código arbitrário sob as mesmas condições.

. A Apple informou que essas vulnerabilidades afetam versões do iOS anteriores à versão 16.7.1, lançada em 10 de outubro de 2023. Clément Lecigne, do Grupo de Análise de Ameaças (TAG) do Google, foi quem descobriu e reportou as falhas. Embora a companhia não tenha detalhado os ataques em andamento, é sabido que brechas no iOS já foram utilizadas para disseminar spywares mercenários visando indivíduos em alto risco, como ativistas, dissidentes, jornalistas e políticos.

. Vale ressaltar que todos os navegadores de terceiros disponíveis para iOS e iPadOS, incluindo o Google Chrome, Mozilla Firefox e Microsoft Edge, são obrigados a utilizar o motor WebKit devido a restrições impostas pela Apple, o que amplia consideravelmente a superfície de ataque.

. As atualizações de segurança foram disponibilizadas para os seguintes dispositivos e sistemas operacionais: iOS 17.1.2 e iPadOS 17.1.2 para iPhone XS e modelos mais recentes, iPad Pro de várias gerações, iPad Air de 3ª geração em diante, iPad de 6ª geração em diante e iPad mini de 5ª geração em diante; macOS Sonoma 14.1.2 para Macs com o referido sistema operacional; e Safari 17.1.2 para Macs com macOS Monterey e macOS Ventura.

. Com esses reparos de segurança mais recentes, a Apple já corrigiu cerca de 19 zero-days ativamente explorados desde o início de 2023. Estas medidas ocorrem dias após o Google implementar correções para uma falha de alta gravidade no Chrome (CVE-2023-6345), que também foi alvo de ataques reais, marcando o sétimo zero-day resolvido pela empresa neste ano.