Theo một báo cáo từ Google Project Zero, một lỗ hổng bảo mật trong Apple Safari đang bị khai thác tích cực đầu năm nay và đã được phát hành bản vá đến tận hai lần.
The Hacker News cho biết, lỗ hổng bảo mật trong trình duyệt Safari đã được hãng vá vào đầu năm. Lỗi được phát hiện lần đầu và khắc phục từ năm 2013, nhưng lại bị phát hiện tiếp vào tháng 12.2016.
CVE-2022-22620 (điểm CVSS: 8.8), liên quan đến việc hacker có thể khai thác một thành phần WebKit để thực thi mã tùy ý.
Đầu tháng 2/2022, Apple đã phát hành bản vá lỗi này trên Safari, iOS, iPadOS và macOS, đồng thời thừa nhận lỗ hổng có thể đã bị khai thác.
Theo nhóm Project Zero, lỗi này được phát hiện lần đầu vào năm 2013 và đã được vá hoàn toàn. Nhưng sau đó 3 năm trong quá trình tái cấu trúc, Apple đã để sảy ra lỗ hổng và tồn tại trong 5 năm trước khi nó được vá dưới dạng zero-day vào đầu năm nay.
Mặc dù cả hai lỗi 2013 và 2022 về mặt API cơ bản là giống như nhưng đường dẫn để kích hoạt lỗ hổng là khác nhau. Những thay đổi mã trong nhiều năm đã làm sống lại lỗ hổng zero-day này từ cõi chết lên giống như một con zombie.
Stone nhấn mạnh rằng lỗi này không chỉ tồn tại riêng đối với Safari, và cần dành nhiều thời gian để kiểm tra mã cũng như các bản vá để tránh trường hợp các bản vá bị lặp cũng như hiểu rõ các tác động bảo mật với các bản vá đã thực hiện.
“Cả thay đổi tháng 10 năm 2016 và tháng 12 năm 2016 đều rất lớn. Tháng 10 đã thay đổi 40 tệp với 900 lần bổ sung và 1225 lần xóa. Vào tháng 12 đã thay đổi 95 tệp với 1336 lần bổ sung và 1325 lần xóa”, Stone lưu ý.
“Có vẻ như bất kỳ nhà phát triển hay người đánh giá nào cũng không thể hiểu chi tiết ý nghĩa bảo mật của từng thay đổi, đặc biệt là vì chúng liên quan đến ngữ cảnh lâu dài.”
Theo The Hacker News
