Apple出现零点击漏洞 紧急发布安全更新

网络安全监督组织公民实验室(Citizen Lab)周一(9月13日)表示,他们发现了苹果公司(Apple Inc.)系统中的一项漏洞,黑客可借此在所有iOS、MacOS和WatchOS设备上,安装飞马(Pegasus)间谍软件

值得注意的是,即使用户没有任何互动,攻击也能奏效。研究人员认为,也不会有任何明显的迹象,显示设备已遭到攻击。

Citizen Lab在声明(链接)中指出,他们在分析一名沙特阿拉伯活动家的手机时,发现了这个针对iMessage的“零时差零点击漏洞”(zero-day zero-click exploit)。

Citizen Lab表示,他们将这个漏洞称为“FORCEDENTRY”,并确信以色列网络监控公司NSO Group至少从今年2月起,一直利用这个漏洞攻击最新的Apple设备。目前不清楚还有多少用户遭到入侵。

此前,NSO Group曾传出利用飞马(Pegasus)间谍软件监控世界各地的政要、记者、维权人士的手机,震惊全球。

Citizen Lab指出,主要是利用iMessage能自动呈现图像的漏洞进行攻击,只要用户收到恶意制作的PDF档,就能触发漏洞,执行任意系统代码并入侵设备。

声明中称,Citizen Lab已在上周二(9月7日)将该漏洞报告给苹果公司

苹果公司也在周一,紧急发布软件更新,修复了这个漏洞。

苹果公司工程安全和构架主管克尔斯蒂奇(Ivan Krstić)在一份声明中说:“在发现这个用于iMessage的漏洞后,苹果迅速开发并在iOS 14.8中部署了一个修复程序,以保护我们的用户。”

“这样的攻击是高度复杂的,需要花费数百万美元来开发,且往往有效期很短,被用来针对特定的个人”,他补充说,“虽然这意味着它们对我们绝大多数用户没有威胁,但我们将继续不懈努力,保护我们所有的客户,我们将不断为他们的设备和数据增加新的保护措施。”

有记者已向NSO请求置评。该公司并未承认或否认,它是否为这项技术的幕后推手,仅表示“NSO Group将继续为世界各地的情报和执法机构,提供拯救生命的技术,以打击恐怖主义和犯罪行为”。

“流行的聊天应用程序,可能正成为设备安全的弱点。”Citizen Lab研究员约翰·斯科特·雷尔顿(John Scott-Railton)对路透社说:“确保它们的安全应该是首要任务。”

2019年,WhatsApp也曾出现一个零点击漏洞。Citizen Lab表示,NSO在两周内,利用该漏洞入侵了超过1,400部手机。

尽管NSO表示,它对出售技术的政府进行了审查,但许多遭飞马间谍软件感染的活动家、记者和反对派政治家,都来自人权记录不佳的国家。

Citizen Lab在声明中说:“我们最新发现的另一个Apple零时差漏洞,被NSO Group当成武器库的一部分,这进一步表明,像NSO Group这样的公司,正为不负责任的政府安全机构提供‘专制即服务’(despotism-as-a-service)。 ”

他们呼吁,“迫切需要对这个不断增长、高利润且有害的市场进行监管”。