谷歌披露影响苹果全平台的 Image I/O 零点击漏洞
周二的时候，谷歌公布其在苹果公司的图像 I/O 中发现了当前已被修复的一些 bug 。对于该公司的平台来说，Image I/O 对其多媒体处理框架有着至关重要的意义。ZDNet 报道称，谷歌旗下 Project Zero 团队在周二概述了该漏洞的诸多细节。若被别有用心者利用，或导致用户遭遇“零点击”攻击。
据悉，Image I/O 随 iOS、macOS、watchOS 和 tvOS 一起向应用开发者提供。因此谷歌曝光的这一缺陷，几乎影响苹果的每一个主要平台。
问题可追溯到围绕图像格式解析器的一些老生常谈的问题，这些特殊的框架很适合被黑客利用。通过编造畸形的媒体文件，便可在目标系统上运行无需用户干预的“零点击”代码。
谷歌 Project Zero 补充道，他们分析了 Image I/O 的“模糊处理”过程，以观察该框架是如何响应错误的图像文件格式的。之所以选择这项技术，是因为苹果限制了对该工具大部分源代码的访问。
结果是，谷歌研究人员成功地找到了 Image I/O 中的六个漏洞、以及 OpenEXR 中的另外八个漏洞，后者正是苹果向第三方公开的“高动态范围（HDR）图像文件格式”的框架。
谷歌 Project Zero 安全研究人员 Samuel Groß 写道：“经过足够的努力，以及由于自动重启服务而授予的利用尝试，我们发现某些漏洞可被利用开执行‘零点击’的远程代码”。
鉴于这是一种基于多媒体攻击的另一种流行途径，其建议苹果在操作系统库和 Messenger 应用中实施连续的“模糊测试”和“减少受攻击面”，后者包括以安全性的名义而减少对某些文件格式的兼容政策。
最后需要指出的是，苹果已经在 1 月和 4 月推出的安全补丁中，修复了与 Image I/O 有关的六个漏洞。
（稿源：cnBeta，封面源自 *** 。）
“谷歌披露影响苹果全平台的 Image I/O 零点击漏洞” 的相关文章
Java 加密漏洞 PoC 代码公开，受影响的版本需尽快升级
据Security affairs网站消息，4月21日，安全研究人员Khaled Nassar在Github上公开了Java 中新披露的数字签名绕过漏洞的PoC代码，该漏洞被追踪为CVE-2022-21449（CVSS 分数：7.5）。 漏洞的影响范围主要涉及 Java SE 和 Oracle Gr...
黑客称入侵了微软：拿到 Bing 和 Cortana 项目源代码
近日，据Reddit上的帖子和Cyber Kendra上的一份报告显示，LAPSUS$ (Lapsus) 组织入侵了微软的DevOps帐户，该组织此前入侵了NVIDIA和三星。 下面的截图由Lapsus发布，但很快被删除，由Cyber Kendra保存了下来。该组织声称可以访问微软的一些DevOps...
CISA 与 FBI 在 Viasat 网络攻击后发出警告 美国卫星通讯亦面临安全威胁
因担心俄乌冲突引发的近期针对欧洲卫星网络发起的攻击可能很快蔓延到美国本土，政府机构已经向卫星通信网络运营商发出了“潜在威胁”预警。在美国网络安全与基础设施安全局（CISA）和联邦调查局（FBI）本周联合发布的一份公告中，其敦促卫星通讯（SATCOM）网络提供商和基础设施组织加强安全防御。若被入侵，或...
SIM卡调换黑客被捕，曾盗窃受害者银行账户
Hackernews 编译，转载请注明出处： 西班牙国家警察局(National Police ía Nacional)上周表示，该局捣毁了一个未命名的网络犯罪组织，并逮捕了8名涉嫌与一系列以金融欺诈为目的的 SIM 卡调换攻击有关的罪犯。 犯罪团伙的嫌疑人伪装成银行和其他组织有信任力的代表，使用...
Chrome 新增 Privacy Guide：帮用户理解和实施安全设置
适用于桌面 PC 和笔记本的 Chrome 稳定版将新增“Privacy Guide”功能，它将帮助该网络浏览器的用户理解和实施隐私、安全和在线安全设置。虽然 Chrome 浏览器一直有大部分的这些设置，但现在 Google 声称隐私和安全控制应该更容易理解。 图片链接：https://static...
Log4Shell 重创 Kronos 私有云服务：打乱公司运作 影响节前工资发放
一场严重的勒索软件危机打乱了很多大公司的运作，一些工人则担忧无法在圣诞假期前拿到最后一笔工资。而这一切的魁首就是近期臭名昭著的 Log4Shell 攻击，这让劳务解决方案公司 Kronos 可能要面临持续数周的业务中断。这一安全事件已经影响了纽约市地铁交通局、本田公司、GameStop 等机构的人力...
评论列表
发表评论
