谷歌發(fā)布了許多影響所有蘋果設(shè)備的零點擊漏洞
邊肖發(fā)現(xiàn)，許多朋友對谷歌發(fā)布許多影響所有蘋果設(shè)備的零點擊漏洞感興趣。邊肖整理了一些谷歌發(fā)布的影響所有蘋果設(shè)備的許多零點擊漏洞的相關(guān)信息，并在此分享。
去年，我們報道了谷歌的零項目團隊，該團隊幫助蘋果修復(fù)了一個重要的iPhone黑客漏洞?，F(xiàn)在，AppleInsider將我們的注意力轉(zhuǎn)向了該團隊的另一份出版物，該出版物揭示了蘋果平臺上的六個新漏洞。
該團隊報告的漏洞與所有蘋果系統(tǒng)(iOS、macOS、watchOS和tvOS)上存在的所謂ImageIO框架有關(guān)，因此所有蘋果設(shè)備似乎都受到了該漏洞的影響。然而，新發(fā)現(xiàn)的網(wǎng)絡(luò)安全漏洞與解析圖像的代碼報告和解決的問題有關(guān)，但這一次，它與流行的消息應(yīng)用程序中的圖像有關(guān)。
問題是，這個漏洞不需要用戶點擊任何可疑的鏈接或這種性質(zhì)的東西，這就是為什么它被稱為“零點擊”漏洞。據(jù)報道，Zero Plan與一項名為“模糊測試”的技術(shù)合作，這是一種可以向蘋果的ImageIO框架提供無效、意外或隨機數(shù)據(jù)的軟件測試方法。隨后，團隊發(fā)現(xiàn)了ImageIO中的6個漏洞和蘋果ImageIO公開的第三方鏡像格式(稱為OpenEXR)中的另外8個漏洞。據(jù)悉，蘋果已經(jīng)修復(fù)了上述漏洞(在1月和4月的安全補丁中)。
需要注意的是，這些漏洞可以通過流行的消息傳遞應(yīng)用程序來訪問，但是它們并沒有鏈接到這些應(yīng)用程序的源代碼。因此，該團隊表示，修復(fù)漏洞是蘋果的責(zé)任，而不是單個消息應(yīng)用團隊的責(zé)任。
Zero Project團隊的研究員SamuelGro發(fā)布了這份報告，他指出，即使發(fā)現(xiàn)的所有問題都被蘋果修復(fù)了，但仍然存在其他一些同類型的漏洞，經(jīng)過足夠的努力，惡意黑客可能會被利用為對蘋果設(shè)備的零點擊攻擊。
研究人員建議總部位于庫比蒂諾的科技巨頭進行更多的“模糊測試”。此外，他建議蘋果在其OS庫中實施激進的攻擊面縮減，這意味著減少兼容文件格式的數(shù)量以提高安全性。
標(biāo)簽：