谷歌公布6个重大iOS漏洞安全通告
发布时间 2019-07-31• 漏洞编号和级别
CVE编号：CVE-2019-8647，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-8660，危险级别：中危，CVSS分值：官方未评定
CVE编号：CVE-2019-8662，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-8646，危险级别：高危，CVSS分值：官方未评定
CVE编号：CVE-2019-8624，危险级别：中危，CVSS分值：官方未评定
• 影响版本
受影响的版本
iOS < 12.4
• 漏洞概述
谷歌 Project Zero 团队的两名研究员公开了6个“无交互”安全漏洞中的5个漏洞的详情和PoC。它们影响iOS操作系统，可经由 iMessage 客户端利用。
其中4个漏洞可导致在远程 iOS 设备上执行恶意代码，且无需用户交互。攻击者需要做的就是将恶意信息发送至受害者手机，一旦用户打开并查看收到的项目，恶意代码就会执行。这4个漏洞是CVE-2019-8641（详情未公开）、CVE-2019-8647、CVE-2019-8660 和 CVE-2019-8662。第5个和第6个漏洞CVE-2019-8624和CVE-2019-8646可导致攻击者泄露设备内存信息并读取远程设备文件，且均无需用户交互。
漏洞信息如下：
该漏洞是释放后使用漏洞，存在于iOS的Core Data框架中，由于使用NSArray initWithCoder方法时发生不安全的反序列化，因此可导致任意代码执行的后果。它可经由 iMessage 客户端远程触发。
它是存在于 Core Data 框架和 Siri 组件中的内存损坏问题，如遭利用，可导致远程攻击者引发应用程序异常终止或任意代码执行的后果。
该漏洞类似于 CVE-2019-8647，存在于 iOS 的 QuickLook 组件中，也可经由 iMessage 客户端远程触发。
该漏洞存在于 watchOS 的 Digital Touch 组件中，影响 Apple Watch Series 1及后续版本。苹果已在本月发布 watchOS 5.3 解决了该问题。
该漏洞也位于 Siri 和 Core Data iOS 组件中，可导致攻击者在无需用户交互的情况下远程读取存储在 iOS 上的文件内容，例如无沙箱的用户手机。
• 漏洞验证
POC:
https://bugs.chromium.org/p/project-zero/issues/detail?id=1874
https://bugs.chromium.org/p/project-zero/issues/detail?id=1858
https://bugs.chromium.org/p/project-zero/issues/detail?id=1884
https://bugs.chromium.org/p/project-zero/issues/detail?id=1828
• 修复建议
所有的6个漏洞已于上周即7月22日在苹果发布的 iOS 12.4 版本中修复。其中1个漏洞的详情并未公开，因为iOS 12.4版本的补丁并未完全修复该问题。
• 参考链接
京公网安备11010802024551号