Lek laat aanvaller via malafide afbeelding code op iPhones en Macs uitvoeren

In dit artikel:

Apple heeft beveiligingsupdates uitgebracht voor iPhone, iPad en Mac nadat meerdere ernstige kwetsbaarheden zijn ontdekt in iOS, iPadOS en macOS. In iOS en iPadOS 26.6 zijn 87 lekken verholpen, waaronder vijf fouten die het mogelijk maken om via malafide afbeeldingen of speciaal geprepareerde bestanden willekeurige code uit te voeren. De kwetsbaarheden zitten onder meer in AppleDouble, ImageIO en SceneKit. Apple zegt niet dat de lekken al actief zijn misbruikt, maar vooral ImageIO-fouten zijn eerder gebruikt bij gerichte aanvallen, onder meer met spyware op iPhones.

Ook zijn lekken gedicht die misbruik mogelijk maken als een aanvaller fysieke toegang heeft tot een toestel. Zo kon via een fout in DriverKit gevoelige gebruikersinformatie worden ingezien, terwijl andere bugs apps toegang konden geven tot gevoelige gebruikersdata. Voor macOS Tahoe 26.6 geldt hetzelfde, maar daar zijn nog meer problemen opgelost: in totaal 155. Naast de vijf gedeelde code-executionlekken is er voor Macs nog een zesde vergelijkbaar lek in HFS, dat via malafide afbeeldingen kan worden misbruikt. Een apart Siri-lek in macOS kon bovendien op een vergrendelde Mac toegang geven tot contacten en foto’s. Apple raadt gebruikers aan de updates zo snel mogelijk te installeren.