CISA מוסיפה את פגם Apple CVE-2024-27834 לקטלוג Known Exploited Vulnerabilities

Security Affairs מדווח כי הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הוסיפה את פגם Apple CVE-2024-27834, בעל ציון CVSS של 5.5, לקטלוג Known Exploited Vulnerabilities (KEV) שלה. לפי הכתבה, הפגם עשוי לאפשר לתוקף שכבר יש לו יכולות קריאה וכתיבה שרירותיות במכשיר לעקוף את Pointer Authentication (PAC), מנגנון מבוסס חומרה שנועד למנוע סוגים מסוימים של התקפות פגיעה בזיכרון. Apple תיקנה את הפגיעות ב־Safari 17.5, ב־iOS 16.7.8 וב־iOS 17.5, ב־iPadOS 16.7.8 וב־iPadOS 17.5, ב־macOS Sonoma 14.5, ב־tvOS 17.5 וב־watchOS 10.5.

חברת אבטחת הסייבר Sekoia מדווחת על התקפות שיוחסו ברמת ביטחון בינונית עד גבוהה לקבוצת הריגול הסייברי APT29, המקושרת לרוסיה. לפי Sekoia, התוקפים השתמשו באתרים שנפרצו, באתרים מזויפים ובפגיעה בשרשרת האספקה של Plerdy SEO Tracker כדי להפיץ JavaScript זדוני, ושרשרת הניצול ללא לחיצה (zero-click) השתמשה בפגם כדי לעקוף את PAC ולהטמיע תוכנה זדונית לגניבת מידע. CISA מורה לסוכנויות פדרליות לתקן את הפגם עד 18 בנובמבר 2026, במסגרת Binding Operational Directive (BOD) 22־01.

למה זה חשוב ארגונים שמפעילים מערכות הפעלה של Apple ואת Safari כדאי שיבדקו אם התקינו את הגרסאות המתוקנות ש־Apple פרסמה, שכן הפגם רשום כעת כמנוצל בקטלוג KEV. לפי הכתבה, הפגם הוא עקיפת PAC שהיא חלק משרשרת ללא לחיצה שבה השתמשה APT29 נגד Safari ו־Chrome, ולכן מומלץ שצוותי אבטחה יתייחסו אליו כשלב אחד בחדירה רחבה יותר ולא כבאג מבודד. חוקרים הבוחנים פריצות מבוססות דפדפן צריכים לשקול אם הפגיעה בשרשרת האספקה של Plerdy SEO Tracker או סקריפטים דומים של צד שלישי היו קיימים בסביבתם.