Citizen Labs는 애플이 오늘 긴급 보안 업데이트로 고친 두 가지 zero-day 플로우가 완전히 패치된 아이폰에 NSO Group의 Pegasus 상용 스파이웨어를 배치하는 데 활용되었다고 발표했습니다. 이 두 가지 버그, CVE-2023-41064와 CVE-2023-41061은, 해커들이 악의적인 이미지를 포함한 PassKit 첨부파일을 통해 iOS 16.6을 실행하는 완전히 패치된 아이폰에 침입하게 했습니다.

이 두 zero-day는 Image I/O 및 Wallet 프레임워크에서 발견되어, 애플과 Citizen Lab 보안 연구원들이 발견하였습니다. 이를 통해, 해커들은 패치되지 않은 아이폰과 아이패드 장치에서 임의의 코드를 실행할 수 있었습니다. 애플은 macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1, 및 watchOS 9.6.2에서 이들 결함을 개선한 로직 및 메모리 처리로 해결하였습니다.

요약

- Citizen Labs는 오늘 애플의 긴급 보안 업데이트를 통해 수정된 두 가지 zero-day가 완전히 패치된 아이폰에 NSO Group의 Pegasus 상용 스파이웨어를 배치하는 데 사용되었다고 발표했다.
- 이 두 zero-day는 해커들이 아이폰에 침입하게 해주는 두 가지 버그로 애플과 Citizen Lab에서 발견되었다.
- 애플은 이러한 결함을 macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1, watchOS 9.6.2에서 개선한 로직과 메모리 처리로 해결하였다.

Reference

https://www.bleepingcomputer.com/news/security/apple-zero-click-imessage-exploit-used-to-infect-iphones-with-spyware/

*※ 이 글은 생성형 AI(ChatGPT-4)에 의해 요약되었습니다.*