CISA додала експлуатовану вразливість Apple CVE-2024-27834 до каталогу KEV

Агентство кібербезпеки та безпеки інфраструктури США (CISA) додало CVE-2024-27834, вразливість Apple середньої тяжкості, до каталогу Known Exploited Vulnerabilities після повідомлень про активну експлуатацію. Ця вразливість може дозволити зловмиснику з можливістю довільного читання та запису обійти механізм Pointer Authentication, а Apple усунула її у травні 2024 року. Федеральним цивільним виконавчим органам рекомендовано застосувати необхідні виправлення до 18 листопада 2026 року.

Деталі вразливості

CVE-2024-27834 описано як неналежну автентифікацію з оцінкою CVSS 5.5. Apple усунула її покращеними перевірками в iOS 16.7.8 і iPadOS 16.7.8, iOS 17.5 і iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 і Safari 17.5. Вразливість продемонстрували як zero-day на хакерському конкурсі Pwn2Own Vancouver у березні 2024 року.

Атрибуція та шляхи атак

Sekoia повідомила, що загрозові актори, можливо пов'язані з Росією, експлуатували раніше виправлені вразливості в Safari і Google Chrome, щоб поширювати шкідливе програмне забезпечення, здатне збирати дані браузера та пристрою. Діяльність приписують APT29, також відомому як Cozy Bear і Midnight Blizzard, державній хакерській групі, пов'язаній зі Службою зовнішньої розвідки Росії, з упевненістю від помірної до високої. Атаки використовували три початкові шляхи доступу: скомпрометовані легітимні вебсайти, підроблені сайти, що видають себе за популярні вебсайти, і атаку на ланцюг постачання, спрямовану на Plerdy SEO Tracker.

Ланцюг експлуатації та корисне навантаження

Шкідливий JavaScript запускає вразливість і зрештою розгортає корисне навантаження для викрадення інформації після профілювання пристрою відвідувача. Zero-click ланцюг експлуатації поєднує CVE-2025-43529, вразливість віддаленого виконання коду у WebKit, і обхід кодів автентифікації покажчиків (PAC) для виконання JavaScript-корисного навантаження, призначеного для викрадення файлів cookie браузера.

Джерела: The Hacker News