苹果修复了三个在野的0 day漏洞

苹果公司已经解决了macOS和tvOS中三个零日漏洞，这些漏洞被威胁参与者积极利用。

苹果已经发布了安全更新，以解决影响macOS和tvOS的三个零时差漏洞，这些漏洞已在野外被利用。XCSSET恶意软件已利用macOS漏洞绕过安全保护。

“苹果公司注意到有报道称该问题可能已经被积极利用。” 阅读有关上述问题的Apple发布的安全公告。

影响Apple TV 4K和Apple TV HD设备上的WebKit的两个零日漏洞已被跟踪为CVE-2021-30663和CVE-2021-30665。

CVE-2021-30663零日漏洞是一个整数溢出漏洞，可以通过改进输入验证来解决，该漏洞由一位匿名研究人员报告。

CVE-2021-30665零日漏洞是一个内存损坏问题，该公司已通过改善状态管理解决了该问题，该漏洞由360 ATA的yangkang（@dnpushme）＆zerokeeper＆bianliang报告。

攻击者可以利用这些缺陷，诱使受害者访问恶意制作的Web内容。

跟踪为CVE-2021-30713的第三个零日 是绕过了“透明性同意和控制（TCC）”保护的问题，该保护已通过改进的验证解决。该缺陷会影响macOS Big Sur设备，攻击者可能会利用此缺陷访问磁盘上的数据，从而获得额外的权限，而无需用户干预。

安全公司Jamf的研究人员报告说，该漏洞已被XCSSET恶意软件积极利用。

“在最新的macOS版本（11.4）中，Apple修补 了零日漏洞利用 （CVE-2021-30713），该漏洞绕过了透明度同意和控制（TCC）框架。该系统控制着应用程序可以访问哪些资源，例如向视频协作软件授予对网络摄像头和麦克风的访问权限，以便参加虚拟会议。” 读该帖子发表了Jamf。“有问题的漏洞利用可能会使攻击者无需用户的明确同意即获得完全磁盘访问权，屏幕记录或其他权限-这是默认行为。我们是Jamf Protect检测小组的成员，在注意到在野外观察到的已检测到的变种大幅增加之后，我们发现XCSSET恶意软件的其他分析期间正在积极利用这种旁路。检测小组注意到，一旦安装在受害者的系统上，XCSSET便专门使用此旁路来获取用户桌面的屏幕快照，而无需其他权限。”

XCSSET恶意软件是去年由趋势科技 [PDF]在通过受感染的Xcode项目针对Mac用户的一项活动中 首次发现的，它使用另外两个零日时间劫持Safari Web bro并注入恶意的Javascript有效负载。

XCSSET 是由趋势科技 于2020年8月发现的Mac恶意软件 ，它正在Xcode项目中传播，并利用两个零日漏洞来从目标系统窃取敏感信息并发起勒索软件攻击。

根据趋势科技的说法，该威胁允许窃取与流行应用程序（包括Evernote，Skype，Notes，QQ，微信和电报）相关的数据。该恶意软件还允许攻击者捕获屏幕截图并将被盗的文档泄露到攻击者的服务器。该恶意软件还实施勒索软件行为，能够加密文件并显示勒索记录。

该恶意软件还能够发起通用跨站点脚本（UXSS）攻击，从而在访问特定网站并改变用户的浏览器体验时将JavaScript代码注入浏览器。此行为允许恶意代码替换加密货币地址，并从Apple Store窃取在线服务（amoCRM，Apple ID，Google，Paypal，SIPMarket和Yandex）的凭证以及支付卡信息。