谷歌披露影响苹果全平台的 Image I/O 零点击漏洞
周二的时候，谷歌公布其在苹果公司的图像 I/O 中发现了当前已被修复的一些 bug 。对于该公司的平台来说，Image I/O 对其多媒体处理框架有着至关重要的意义。ZDNet 报道称，谷歌旗下 Project Zero 团队在周二概述了该漏洞的诸多细节。若被别有用心者利用，或导致用户遭遇“零点击”攻击。
据悉，Image I/O 随 iOS、macOS、watchOS 和 tvOS 一起向应用开发者提供。因此谷歌曝光的这一缺陷，几乎影响苹果的每一个主要平台。
问题可追溯到围绕图像格式解析器的一些老生常谈的问题，这些特殊的框架很适合被黑客利用。通过编造畸形的媒体文件，便可在目标系统上运行无需用户干预的“零点击”代码。
谷歌 Project Zero 补充道，他们分析了 Image I/O 的“模糊处理”过程，以观察该框架是如何响应错误的图像文件格式的。之所以选择这项技术，是因为苹果限制了对该工具大部分源代码的访问。
结果是，谷歌研究人员成功地找到了 Image I/O 中的六个漏洞、以及 OpenEXR 中的另外八个漏洞，后者正是苹果向第三方公开的“高动态范围（HDR）图像文件格式”的框架。
谷歌 Project Zero 安全研究人员 Samuel Groß 写道：“经过足够的努力，以及由于自动重启服务而授予的利用尝试，我们发现某些漏洞可被利用开执行‘零点击’的远程代码”。
鉴于这是一种基于多媒体攻击的另一种流行途径，其建议苹果在操作系统库和 Messenger 应用中实施连续的“模糊测试”和“减少受攻击面”，后者包括以安全性的名义而减少对某些文件格式的兼容政策。
最后需要指出的是，苹果已经在 1 月和 4 月推出的安全补丁中，修复了与 Image I/O 有关的六个漏洞。
（稿源：cnBeta，封面源自 *** 。）
“谷歌披露影响苹果全平台的 Image I/O 零点击漏洞” 的相关文章
超过 350 万俄罗斯互联网用户的账户被攻破 增长速度冠绝全球
Surfshark的一项研究显示，自3月开始入侵乌克兰以来，俄罗斯账户被攻破的次数比2月多136%。反过来，乌克兰在黑客攻击中充当受害者的场景比战争前的那个季度少67%。这些数字很可能是由于黑客组织Anonymous在冲突开始时宣布它将特意针对俄罗斯的事实。 sandr Valentij说。”泄...
CISA 发布 AA22-103A 新警报：警惕针对 ICS/SCADA 设备的 APT 网络攻击
本周三，包括美国能源部（DOE）、网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在内的多个机构，向关键基础设施运营商发出了严重的潜在攻击警报。近年来，某些持续威胁（APT）参与者创建了许多定制工具，并在针对工业控制系统（ICS）、监控和数据采集设备（SCADA）等关键基础设施的攻击事件中...
加密货币使勒索软件的使用变得更加普遍
眼下，勒索软件已经成为互联网上的一种趋势，它的目标包括企业、政府机构、医院和学校。这是一个几十年前就存在的问题，但在过去几年中变得非常普遍。最初，黑客以个人为目标，要求提供几百美元的比特币，但现在他们追求更大的目标，他们可以勒索更大的金额，并且被勒索放在没有电脑和服务器的情况下无法继续正常使用 密...
SIM卡调换黑客被捕，曾盗窃受害者银行账户
Hackernews 编译，转载请注明出处： 西班牙国家警察局(National Police ía Nacional)上周表示，该局捣毁了一个未命名的网络犯罪组织，并逮捕了8名涉嫌与一系列以金融欺诈为目的的 SIM 卡调换攻击有关的罪犯。 犯罪团伙的嫌疑人伪装成银行和其他组织有信任力的代表，使用...
超过千万安卓用户成为付费短信诈骗应用的目标
一场在全球范围性欺诈行为被发现，它利用151个恶意Android应用程序，下载量达1050万次，在未经用户同意和知情的情况下将用户拉入付费订阅服务。 名为“Ultimams”的付费短信诈骗活动据信于2021年5月开始，涉及的应用程序涵盖范围广泛，包括输入法、二维码扫描仪、视频和照片编辑器、垃圾邮件拦...
朝鲜关键服务无法访问 疑似遭到 DDoS 攻击
根据 NK News 获得的日志文件和域名记录显示，在上周五和上周日朝鲜的关键服务器无法访问，从而在互联网上消失了数个小时。网络安全研究员 Junade Ali 说，连接失败的模式表明，朝鲜的 IT 基础设施可能受到了分布式拒绝服务（DDOS）攻击。 图片来自于 Pixabay Ali 表示：“断...
评论列表
发表评论
