Come riporta il New York Times, gli ingegneri Apple hanno lavorato 24 ore su 24 per risolvere una vulnerabilità critica e rilasciare quanto prima iOS 14.8.
La scorsa settimana, Apple è stata informata di un nuovo exploit zero-click su iMessage che colpiva la libreria di rendering delle immagini. Chiamato FORCEDENTRY, l’exploit poteva infettare iPhone, iPad, Apple Watch o Mac con lo spyware Pegasus, fornendo accesso alla fotocamera e al microfono oltre a messaggi di testo, telefonate ed e-mail.
FORCEDENTRY è stato distribuito dal gruppo israeliano NSO a governi di tutto il mondo ed è stato scoperto dopo che alcuni esperti hanno l’iPhone di un’attivista saudita. I dettagli sono stati condivisi conApple il 7 settembre e l’azienda ha impiegato una settimana per correggere il bug. Secondo diverse fonti, FORCEDENTRY è in uso almeno da febbraio 2021. Apple ha lavorato notte e giorno per correggerlo e elenca la correzione come CVE-2021-30860, descrivendolo come un PDF pericoloso che potrebbe portare all’esecuzione di codice arbitrario.
“Questo spyware può fare tutto ciò che un utente iPhone può fare sul proprio dispositivo e tanto altro ancora“, ha affermato il ricercatore John-Scott Railton.
A luglio, una serie di fonti hanno evidenziato diversi exploit iMessage chiamati Pegasus e distribuiti dalla società israeliana NSO. Questi bug sono stati sfruttati per spiare giornalisti e attivisti in varie parti del mondo, come denunciato da vari enti. Lo spyware Pegasus è molto pericoloso perché colpisce BlastDoor, la protezione di iMessage che Apple ha messo in atto con il lancio di iOS 14. BlastDoor è un sistema di sicurezza sandbox per i messaggi che serve a prevenire exploit come Pegasus, ma è ancora in fase di sviluppo.
Apple ha dichiarato al New York Times che prevede di aggiungere barriere antispyware con iOS 15 per prevenire attacchi simili in futuro.