Trong một báo cáo mô tả về lỗ hổng bảo mật, công ty cho biết, lỗi bảo mật này có có thể đã bị những tội phạm mạng khai thác tích cực.

Lỗi zero-day do công ty Apple vá được lập chỉ mục là CVE-2022-22620. Đây là một lỗi use-after-free (UAF) dễ bị tổn thương trong cơ chế cấp phát bộ nhớ động trong WebKit, có thể cho phép những kẻ tấn công thực thi mã tùy ý sau khi người dùng duyệt nội dung các trang web độc hại trên những thiết bị có phiên bản điều hành iPadOS và iOS dễ bị tấn công. Lỗi này cũng có thể gây ra sự cố treo hệ điều hành không mong muốn.

Các nhà nghiên cứu tại công ty an ninh mạng Kaspersky trong một bài viết đăng trên blog cho biết : “Nói một cách đơn giản, kịch bản tấn công có khả năng xảy ra nhất khi một thiết bị iPhone hoặc iPad bị lây nhiễm sau khi truy cập trang web độc hại” . Lỗi UAF bắt nguồn từ việc thiết kế sai cơ chế cấp phát bộ nhớ động trong các ứn dụng

WebKit, phần mềm có lỗi CVE-2022-22620, là công cụ trình duyệt hỗ trợ trình duyệt Safari trên tất cả các thiết bị của Apple. Công cụ mã nguồn mở này được sử dụng trên tất cả các trình duyệt cho iPadOS và iOS, không chỉ Safari mặc định của iPhone mà còn cả Mozilla Firefox, Google Chrome và những trình duyệt nào khác. Ngay cả khi người dùng không sử dụng Safari, vẫn có thể bị tấn công bởi lỗ hổng.

Apple cho biết khắc phục sự cố bằng cập nhật phần mềm quản lý bộ nhớ động hiệu quả hơn trong iPadOS 15.3.1, iOS 15.3.1 và macOS Monterey 12.2.1.

Lỗi bảo mật ảnh hưởng đến những thiết bị Apple như: iPhone 6s trở lên, tất cả kiểu loại iPad Pro, iPad Air 2 trở lên, iPad thế hệ thứ 5 trở lên, iPad mini 4 trở lên, iPod touch (thế hệ thứ 7), Máy tính xách tay và máy tính để bàn chạy macOS Monterey, Theo Kaspersky, hầu hết người dùng nên cài đặt các bản sửa lỗi ngay từ bây giờ.

Apple không cung cấp các chi tiết khác về nhược điểm bảo mật cho đến khi cuộc điều tra hoàn tất.

Tháng 1/2022, Apple cung cấp bản vá lỗi bảo mật trong trình duyệt web Safari, lỗi cho phép hackers lấy cắp thông tin về lịch sử duyệt web của người dùng, chi tiết về tài khoản đăng nhập như Google ID.

Lỗ hổng bảo mật được các nhà nghiên cứu FingerprintJS phát hiện, xuất phát từ sự cố khi Apple triển khai API JavaScript có tên là IndexedDB, một phần của WebKit. Ngoài lỗi duyệt web Safari, công ty phát hành Apple iOS 15.3, giải quyết một số lỗi bảo mật đã bị hacker khai thác.

Tháng 10/2021, Apple phát hành bản iOS 15.0.2 và iPadOS 15.0.2 giải quyết lỗi zero-day (CVE-2021-30883) mà hãng cho rằng đang bị những kẻ tội phạm lợi dụng.

Tháng 9/2021, nhà sản xuất iPhone phát hành bộ cập nhật mới cho iOS, watchOs và macOS sửa một lỗi nghiêm trọng khi các nhà điều tra bảo mật cho rằng, hệ điều hành bị phần mềm gián điệp lợi dụng để theo dõi một nhà hoạt động chính trị Ả rập Xê út.