Устройства Apple можно взломать с помощью графических файлов

Устройства Apple можно взломать с помощью графических файлов

Устройства Apple можно взломать с помощью графических файлов

Исследователи выявили несколько уязвимостей удаленного выполнения кода в iOS и OS X, которые позволяют злоумышленникам поставить под угрозу безопасность устройств Apple с помощью специально созданных файлов изображений.

Apple на этой неделе исправили десятки уязвимостей в iOS и OS X, включая четыре, обнаруженные экспертами Cisco Talos. Самой серьезной из этих уязвимостей является CVE-2016-4631, которая затрагивает компонент ImageIO в OS X 10.11.5 и более ранних версиях, и в iOS 9.3.2 и более ранних версиях. Эта проблема также затрагивает операционные системы watchOS и tvOS, основанные на iOS.

Согласно Cisco, уязвимость связана с тем, как ImageIO обрабатывает файлы формата TIFF (Tagged Image File Format). Злоумышленник может использовать эту уязвимость, чтобы выполнить произвольный код путем отправки пользователю специально созданного изображения, которое вызовет переполнения буфера.

Уязвимость представляет собой серьезную угрозу из-за большого количества затронутых устройств и больших возможностей для атаки. Исследователи утверждают, что злоумышленники могут воспользоваться этой уязвимостью, отправляя вредоносные TIFF-файлы через IM-сообщения, сообщения MMS, веб-сайты и другие площадки, использующие ImageIO для обработки изображений. Эксперты предупреждают, что в некоторых случаях для успешной атаки не требуется никакого взаимодействия с пользователем, так как некоторые приложения обрабатывают изображения сразу же после получения.

Другая серьезная уязвимость, затрагивающая iOS и OS X идет под именем CVE-2016-4637 и существует в компоненте CoreGraphics. Эксперты Cisco говорят, что уязвимость связана с тем, как обрабатывается свойство высоты в заголовке BMP -файла. Злоумышленник может создать специальный BMP-файл, который позволит записать данные вне пределов буфера, если будет открыт в приложении, использующем CoreGraphics

Из исправленных на этой неделе уязвимостей, затрагивающих OS X El Capitan 10.11.6, можно отметить CVE-2016-4629 и CVE-2016-4630, они были также обнаружены исследователями Cisco Talos. Эти уязвимости могут быть использованы для выполнения произвольного кода при помощи OpenERX, для этого потребуется специально созданный файл в формате HDR.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Касперская: Хотелось бы, чтобы диван стоил 3 рубля, а он стоит 10

Малый бизнес остаётся самым уязвимым звеном в системе кибербезопасности. Что с этим делать, обсуждали эксперты и представители вендоров на форуме ЦИПР’25. По данным компании «Киберпротект», на сектор малого и среднего бизнеса в России приходится до 87% всех кибератак.

При этом значительная часть компаний по-прежнему фактически не защищена: не хватает не только ресурсов и технологий, но и базового понимания цифровой гигиены.

Главной темой обсуждения стала доступность ИБ-решений для компаний, у которых нет ни квалифицированных специалистов, ни бюджета на защиту.

«Хотелось бы, чтобы диван стоил 3 рубля, а он стоит 10», — так образно описала разрыв между ожиданиями и реальностью Наталья Касперская (ГК «Инфовотч»).

По её словам, хорошее ИБ-решение не может быть дешёвым, и к нему в любом случае нужны сопровождение и поддержка. Она также подчеркнула, что идея «безопасности по подписке» или универсального решения — это миф.

Сергей Журило (ГК «Рунити») отметил, что у многих предпринимателей защита до сих пор не в приоритете, и даже компании, уже столкнувшиеся с инцидентами, часто не понимают требований регуляторов.

Джабраил Матиев (директор по маркетингу в регионе Россия и СНГ, Kaspersky) напомнил, что малый бизнес всё чаще становится точкой входа при атаках на более крупные компании. Он добавил, что порог входа в киберпреступность сегодня низок, а значит, защита должна начинаться не с технологий, а с цифрового поведения самих людей. С этим тезисом согласились все участники дискуссии.

Денис Батранков, директор по развитию продуктов ГК «Гарда», предложил опираться на международный опыт — например, CISO-as-a-Service в Сингапуре, Essential Eight в Австралии или Mittelstand-Digital в Германии. По его мнению, в России нужна инфраструктура доступных, масштабируемых ИБ-сервисов, где подписка — это не просто лицензия, а полноценное сопровождение.

Олег Кравчук («Код Безопасности») предложил запустить партнёрский консорциум с участием государства, бизнеса и вендоров. Дмитрий Служенкин (Национальный центр цифровой криптографии) подчеркнул, что раннее включение ИБ в бизнес-процессы может серьёзно снизить затраты, а действующее регулирование зачастую «описывает вчерашний день».

С государством на сессии выступал депутат Госдумы Сергей Боярский. По его словам, в цепочке «малый бизнес — атака — пользователь» приоритетом будет защита человека. Ранее на форуме уже поднимался вопрос о государственной поддержке устойчивости бизнеса к киберугрозам, в том числе обсуждалась инициатива по запуску национальной программы баг-баунти для борьбы с кибермошенничеством.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru