CISA מוסיפה את חולשת האבטחה של Apple CVE-2024-27834 לקטלוג KEV

סוכנות אבטחת הסייבר והתשתיות של ארצות הברית (CISA) הוסיפה את CVE-2024-27834, פגיעות Apple בדרגת חומרה בינונית, לקטלוג הפגיעויות המנוצלות הידועות (KEV) לאחר דיווחים על ניצול פעיל. הפגיעות מאפשרת לתוקף בעל יכולת קריאה וכתיבה שרירותית לעקוף את Pointer Authentication, ו-Apple תיקנה אותה במאי 2024. לרשויות המבצעת האזרחיות הפדרליות מומלץ להחיל את התיקונים הנדרשים עד 18 בנובמבר 2026.

פרטי הפגיעות

CVE-2024-27834 מתוארת כפגיעת אימות לקוי עם ציון CVSS של 5.5. Apple תיקנה אותה בבדיקות משופרות ב-iOS 16.7.8 וב-iPadOS 16.7.8, ב-iOS 17.5 וב-iPadOS 17.5, ב-macOS Sonoma 14.5, ב-tvOS 17.5, ב-watchOS 10.5 וב-Safari 17.5. הפגיעות הודגמה כ-zero-day בתחרות הפריצה Pwn2Own Vancouver שנערכה במרץ 2024.

ייחוס ומסלולי תקיפה

Sekoia דיווחה ששחקני איום שעשויים להיות קשורים לרוסיה ניצלו פגיעויות שתוקנו בעבר ב-Safari וב-Google Chrome כדי להפיץ תוכנה זדונית המסוגלת לאסוף נתוני דפדפן ונתוני מכשיר. הפעילות יוחסה ל-APT29, המוכרת גם כ-Cozy Bear וכ-Midnight Blizzard, קבוצת האקרים בחסות ממשלתית המזוהה עם שירות המודיעין החיצוני של רוסיה, ברמת ודאות בינונית עד גבוהה. התקיפות השתמשו בשלושה מסלולי גישה ראשוניים: אתרים לגיטימיים שנפרצו, אתרים מזויפים שהתחזו לאתרים פופולריים, ומתקפת שרשרת אספקה שכוונה ל-Plerdy SEO Tracker.

שרשרת הניצול והמטען

קוד ה-JavaScript הזדוני מפעיל את הפגיעות ופורס בסופו של דבר מטען לגניבת מידע לאחר פרופיל של מכשיר הגולש. שרשרת הניצול ללא לחיצה (zero-click) משלבת את CVE-2025-43529, פגיעות הרצת קוד מרחוק ב-WebKit, עם עקיפת קודי אימות המצביעים (PAC), כדי להריץ מטען JavaScript שנועד לגניבת עוגיות הדפדפן.

Sources: The Hacker News