Apple 9. listopadu oznámil opravu zranitelnosti v iMessage, která mohla vzdálenému útočníkovi umožnit připojit se ke skupinové konverzaci a přijímat její zprávy. Chyba s označením CVE-2026-113961 souvisí s autorizací a firma ji odstranila zlepšením validace. Současně byla opravena druhá chyba, CVE-2026-113960, kvůli níž mohl nově přidaný člen skupiny získat přístup ke zprávám odeslaným ještě před jeho připojením.
Bezpečnostní poznámky Applu však nechávají řadu otázek bez odpovědi. Neuvádějí, zda byly chyby zneužity, co útočník k útoku potřebuje, zda by ostatní členové skupiny nového účastníka viděli, ani zda musí aktualizaci nainstalovat všichni členové konverzace. Aktualizace pro iPhone XS, XS Max, XR, iPad 7. generace a některé modely Apple Watch navíc ani jednu z oprav nezmiňují.
Oprava zneužívané chyby v knihovně Brotli
Stejné aktualizace řeší také zranitelnost v kompresní knihovně Brotli od Googlu (CVE-2026-111497). Jde o zápis mimo hranice paměti v dekodéru, kdy by škodlivě upravená vstupní data mohla poškodit paměť. Apple sice o útocích nehovoří, americká agentura CISA ale chybu 27. října zařadila do svého katalogu aktivně zneužívaných zranitelností (KEV). Jako dotčený produkt uvádí Brotli od Googlu a upozorňuje, že komponentu mohou používat i jiné produkty.
Každá verze operačního systému dostala vlastní aktualizaci. Bezpečnostní bulletin pro iOS a iPadOS 27.2.1 popisuje všechny tři chyby, poznámky k iOS 18.7.12 a watchOS 26.6.1 však opravy pro iMessage ani Brotli neuvádějí. Apple nevysvětluje, zda jsou zařízení s těmito verzemi zranitelná, a nenabízí žádné náhradní řešení pro uživatele, kteří nemohou aktualizovat okamžitě.
Všech devět aktualizací navíc opravuje chyby v Bluetooth a AirPlay. Dvě z nich mohly škodlivému zařízení Bluetooth nebo útočníkovi v dosahu umožnit spárování bez zásahu uživatele, přičemž Apple neuvádí, co by spárované zařízení mohlo dělat dál. Další dvě dovolovaly obejít limit pokusů o zadání párovacího kódu, jedna z dosahu Bluetooth a druhá ze stejné sítě. Poslední mohla útočníkovi v dosahu Bluetooth umožnit poškodit paměť procesu.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
