轉自：中國經營網

本報記者 李玉洋 李正豪 上海報道

iPhone14即將發佈，0day（在網絡安全界通常是指沒有補丁的漏洞利用程序）級別漏洞蓋在了蘋果頭上。

近日，蘋果公司被曝出旗下的手機、平板、電腦等硬件產品存在嚴重安全漏洞，而這些漏洞可以讓黑客輕鬆獲得設備的“完全管理權限”，並以他們的名義運行任何軟件。目前蘋果並未對外透露該漏洞的更多詳情，僅表示是由一名匿名研究人員發現了這一漏洞。

“0day級別漏洞是說剛剛被發現、還沒有被公開的漏洞，威脅很大。”民間互聯網安全組織網絡尖刀安全團隊成員淪淪告訴《中國經營報》記者，鑑於蘋果自身很注重安全漏洞方面的問題，出現0day級別漏洞實屬“比較少見”，但該漏洞還不是天花板級別，建議蘋果用戶及時升級系統。

360漏洞研究院人士也向記者表示，這次漏洞影響非常廣泛，幾乎影響蘋果所有的設備，如iPhone、iPad、Mac等，但“從歷史攻擊事件來看，針對蘋果設備的攻擊主要集中在特定的高價值人羣或者某些特定組織，所以對普通用戶來說，及時更新系統，不隨意點擊未知的鏈接，還不需要太過於緊張”。

對於此次漏洞是否已被利用、造成損失以及將來如何應對類似漏洞等問題，記者聯繫蘋果中國方面，截至發稿未獲答覆。不過目前蘋果公司公開聲稱已經找到相應的解決方法，同時呼籲用戶立刻下載最新更新，以修補漏洞。

漏洞已被利用

據瞭解，受本次漏洞影響的設備涵蓋了手機、平板、電腦“蘋果三件套”：手機包括iPhone 6S及以後的型號；平板包括第五代及以後的iPad、所有的iPad Pro以及iPad Air 2；電腦則是運行MacOS Monterey的Mac。此外，該漏洞還能影響到部分型號的iPod。

“我們從公開的信息看，該漏洞主要利用的是Apple WebKit代碼執行漏洞（CVE-2022-32893）和Apple Kernel權限提升漏洞（CVE-2022-32894）。”淪淪表示，Apple Webkit是瀏覽器引擎，被使用在Safari、Mail、App Store、iOS和Linux，Apple Webkit在處理惡意製作的Web內容可能會導致任意代碼執行，簡單來說，Apple內核存在本地權限提升漏洞，“通過越界讀寫，成功利用該漏洞可以將本地用戶權限提升至內核權限，並以內核權限執行任意代碼”。

需要指出的是，CVE指的是通用漏洞披露（Common Vulnerabilities and Exposures）。對於該漏洞的解析，深度科技研究院院長張孝榮則形象地稱之爲相當於給了黑客一把萬能鑰匙，隨時可以出入用戶的終端。

淪淪還表示，目前國內已經有多個安全團隊發現該漏洞已經被利用的情況，即外部已有攻擊組織在利用這類漏洞。“目前看各大安全廠商的反饋（該漏洞）還沒有大範圍擴散，漏洞細節也還未進行公開。”他說。

在所發佈的安全更新中，蘋果表示該漏洞可能已被用於攻擊行爲。“這就是我們所說的零日漏洞（0day漏洞），也就是在公司發現並能夠做出回應之前，已經被黑客所使用過的漏洞。” 美國麥迪安網絡安全公司（Mandiant）的高級威脅情報顧問傑米·科利爾（Jamie Collier）說。

在前述360漏洞研究院人士看來，雖然蘋果在聲明中用了“可能”兩字，但結果上和邏輯上已經說明該漏洞被“利用”了，此次蘋果不僅修復了這兩個漏洞，還針對攻擊方法引進了新的防護措施，從而加大了相似漏洞的攻擊難度。

安全考驗仍在

張孝榮指出，雖然蘋果終端裏的系統漏洞相對Windows要少很多，但隨着蘋果用戶的增長，蘋果系統日益成爲黑客攻擊的目標，安全漏洞問題也愈發嚴重起來。事實上，蘋果歷史上出現過多次影響重大的漏洞。

“比如2016年的三叉戟漏洞，跟本次修復的漏洞相似，也是通過蘋果設備自帶的瀏覽器作爲攻擊入口，只需要點擊惡意鏈接就可以攻擊到內核並接管設備；還有2021年的FORCEDENTRY漏洞，這應該是蘋果歷史上影響最大的漏洞，因爲受害者不需要任何點擊，攻擊者只需要通過發送iMessage信息到受害者手機上，就可以完成攻擊。”前述360漏洞研究院人士說。

有一種觀點指出，黑客利用這個漏洞就能在用戶不需要點擊任何鏈接的情況下讓用戶的iPhone中招。對此，前述360漏洞研究院人士指出，黑客想要利用此次漏洞入侵蘋果設備還是需要受害者點擊鏈接的，“因爲從這次蘋果的安全公告來看，蘋果修復了這兩個漏洞，一是瀏覽器漏洞，二是內核漏洞，這兩個漏洞形成了一個完整的攻擊鏈，受害者只需要點擊黑客發送的惡意鏈接，黑客就能接管蘋果設備”。

淪淪認爲需要交互。“除非是在同一個局域網，攻擊者利用了特定的劫持手段把正常網站比如百度篡改爲漏洞EXP，這樣用戶只要訪問了百度就可以直接觸發漏洞。”他指出，黑客利用該漏洞的攻擊途徑包含在局域網內進行擴散，比如同一個WiFi下的ARP（地址解析協議）欺騙植入這種漏洞，或者通過郵件、短信等釣魚方式讓用戶點擊存在漏洞的鏈接。

記者注意到，8月17日和18日，蘋果中國官方密集發佈系統更新，包含iOS 15.6.1、iPadOS 15.6.1、MacOS Monterey 12.5.1、watchOS 8.7.1以及Safari 瀏覽器 15.6.1。從更新提示看，以上軟件均與安全性有關，蘋果也提醒所有用戶儘快安裝。

前述360漏洞研究院人士指出，該漏洞實際上是新漏洞老手法，攻擊方式上沒有過於特別的東西，但值得重視的是，近幾年蘋果公司引入了非常多而且有效的安全防護措施，不斷加大攻擊難度，在業界也引起了廣泛的關注，並且得到廣大安全從業者的讚譽，“在這種情況下依然不斷出現在野漏洞攻擊事件，對蘋果公司來說是重大的考驗和挑戰”。

對普通民衆而言，本次漏洞不太可能造成大範圍的問題。通常情況下，當iPhone等手機的漏洞被利用時，往往是有針對性的，攻擊一般集中於一小部分人。不過，淪淪建議廣大用戶不要對數字安全和隱私保護放鬆戒備。

“現在信息泄露這麼嚴重，別人拿到你的信息很容易，如果這個漏洞大範圍公開的話，應該會有黑產對信息泄露的一大批人下手，比如批量給他們發短信或郵件信息，誘騙去點擊。”因此，他強烈建議廣大數字產品用戶不要點擊來歷不明的鏈接、不要訪問一些惡意網站以及公開免費WiFi儘量不要去使用。

責任編輯：李科峯 ST030