Apple закрыли 12 уязвимостей в iOS, tvOS и watchOS

Apple закрыли 12 уязвимостей в iOS, tvOS и watchOS

В понедельник Apple выпустили обновления безопасности для платформ IOS, tvOS и watchOS. В общей сложности в этих обновлениях исправляется 12 уязвимостей, которые затрагивают iPhone, iPad, iPod touch, Apple TV и Apple Watch.

Все 12 брешей влияют на iPhone 5 и более поздние версии, iPad 4-го и более поздние поколения и iPod touch 6-го и более поздние поколения. Все дыры были исправлены с выходом на этой неделе прошивки 10.2. Затронутые компоненты включали в себя: Accessibility, Accounts, Find My iPhone, Graphics Driver, Image Capture, Local Authentication, Mail, Media Player, Profiles и SpringBoard.

Отслеживаемая под идентификатором CVE-2016-7626, брешь повреждения памяти затрагивает не только вышеупомянутые iOS-устройства, но и модели 4-го поколения Apple TV и все модели Apple Watch. Эта уязвимость может позволить злоумышленнику добиться выполнения произвольного кода, если пользователь откроет вредоносный сертификат на уязвимом устройстве.

Для того, чтобы атака состоялась, злоумышленнику нужен специально созданный сертификат, который может привести к повреждению памяти нескольких процессов. Он может быть доставлен на уязвимые устройства через Mobile Safari или почтовое приложение.

Баг был обнаружен Maksymilian Arciemowicz (cxsecurity.com), который утверждает, что злоумышленник сможет вызвать переполнение с помощью длины сертификата в поле OCSP. Следовательно, таким способ можно вызвать крах профиля, настроек или привести к другим непредвиденным последствиям.

Еще одна брешь, CVE-2016-7651, была обнаружена в watchOS 3.1.1 специалистами Trend Micro. Она приводила к тому, что настройки авторизации не сбрасываются при деинсталляции приложений. Также эта уязвимость затрагивает и iOS-устройства.

Кроме этого, были исправлены следующие проблемы: возможность получения доступа к контактам и фото с экрана блокировки при наличии физического доступа к устройству (CVE-2016-7664), возможность отключения функции Find My iPhone при обработке информации аутентификации (CVE-2016-7638).

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Мошенники пугают россиян видеозвонками, чтобы получить ключи от Госуслуг

Мошенническая схема получения займов на чужое имя через взлом аккаунтов «Госуслуг» усовершенствована. Чтобы выманить ключи доступа к личному кабинету гражданина, злоумышленники звонят в мессенджер по видеосвязи и представляются сотрудником полиции.

Новую уловку обнаружили специалисты Сбербанка. По всей видимости, аудиовызовы стали терять свою эффективность, и мошенники решили, что видеосвязь сделает имитацию более убедительной.

Поддержать иллюзию помогает демонстрация служебного удостоверения — разумеется, поддельного. Раскрыть пароль к «Госуслугам» и код подтверждения из СМС собеседника убеждают различными методами, в основном запугиванием.

После получения доступа аферисты от имени жертвы регистрируются на сервисе МФО, оформляют кредит и быстро обналичивают деньги. Жертве остаются долговые обязательства с высокими процентными ставками, а ее персональные данные (с «Госуслуг») могут впоследствии использоваться для реализации других мошеннических схем.

«Ни в коем случае нельзя сообщать код подтверждения доступа из СМС-сообщений или вводить логин и пароль где бы то ни было по указанию неизвестных лиц, — предупреждает Станислав Кузнецов, заместитель Председателя Правления Сбербанка. — Верный признак мошенничества, если неизвестные представляются сотрудниками правоохранительных органов или банков и по видеосвязи предъявляют удостоверения или другие "подтверждающие" документы. Если мошенники всё-таки завладели вашим личным кабинетом, постарайтесь как можно быстрее восстановить доступ к нему».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru