Apple corrige falhas que permitem instalar spyware sem interação dos utilizadores

Os investigadores de segurança da empresa Citizen Lab revelaram ter descoberto duas vulnerabilidades zero day em sistemas da Apple, que foram corrigidas com a recente atualização que a empresa forneceu para vários dos seus sistemas.

Apesar de, na altura, não terem sido revelados detalhes sobre as falhas, agora sabe-se que estas diziam respeito a uma forma de ataque que poderia permitir a instalação de spyware nos sistemas.

Os investigadores afirmam que as duas falhas estariam a ser exploradas pelo NSO Group, conhecido pelo seu spyware Pegasus. As mesmas poderiam permitir que o spyware fosse instalado nos dispositivos, sem interação dos utilizadores.

O ataque ficou apelidado pela empresa de BLASTPASS, e basicamente, basta aos atacantes enviarem uma mensagem via o iMessage para as vítimas. Se estas abrirem a mensagem, mesmo sem qualquer interação na mesma, acabam por poder instalar o spyware nos seus dispositivos.

Os investigadores recomendam que os utilizadores atualizem o mais rapidamente possível para as mais recentes versões do sistema da empresa, ou que ativem o Lockdown Mode.

As duas falhas identificadas – CVE-2023-41064 e CVE-2023-41061 – podem ser usadas em diferentes dispositivos, e se exploradas permitem a execução remota de código no sistema, com o potencial de se instalar malware no mesmo.

As falhas foram corrigidas com a disponibilização do macOS Ventura 13.5.2, iOS 16.6.1, iPadOS 16.6.1 e watchOS 9.6.2.