Lỗi ghi ngoài biên trong CoreGraphics của Apple iOS, iPadOS và macOS có thể dẫn đến thực thi mã tùy ý

Một vấn đề ghi ngoài biên đã được xử lý bằng cách cải thiện việc kiểm tra giới hạn. Vấn đề này được khắc phục trong iOS 26.7.1 và iPadOS 26.7.1, macOS Sequoia 15.8.1, macOS Tahoe 26.7.1. Việc xử lý một tệp được tạo thủ công có chủ đích độc hại có thể dẫn đến thực thi mã tùy ý. Apple biết về một báo cáo cho rằng vấn đề này có thể đã bị khai thác trong một cuộc tấn công cực kỳ tinh vi nhằm vào các cá nhân cụ thể trên các phiên bản iOS trước iOS 27.

• Apple iOS và iPadOS: trạng thái ảnh hưởng được cung cấp là các phiên bản < 26.7.1; bản sửa lỗi được Apple nêu là 26.7.1. Thông báo của Apple liệt kê iPhone 11 trở lên cùng các thế hệ iPad được hỗ trợ cụ thể cho bản cập nhật này.
• Apple macOS Sequoia: các phiên bản < 15.8.1 bị ảnh hưởng; bản sửa lỗi được nêu là 15.8.1.
• Apple macOS Tahoe: các phiên bản < 26.7.1 bị ảnh hưởng; bản sửa lỗi được nêu là 26.7.1.
• Ghi chú của Apple về khả năng khai thác trên các phiên bản iOS trước iOS 27 là thông tin về tình trạng đe dọa, không thay thế các ranh giới ảnh hưởng có cấu trúc ở trên. Dữ liệu được cung cấp không xác nhận phạm vi của các nhánh Apple OS song song hoặc các nhánh phát hành khác ngoài những nhánh đã nêu.

Apple xác định thành phần bị ảnh hưởng là CoreGraphics, nơi một lỗi ghi ngoài biên được xử lý bằng cách cải thiện việc kiểm tra giới hạn. Dữ liệu do kẻ tấn công kiểm soát là một tệp được tạo thủ công có chủ đích độc hại; việc xử lý tệp này có thể dẫn đến thực thi mã tùy ý. Bản ghi cho biết đường tấn công có thể thực hiện qua mạng, không yêu cầu đặc quyền, có độ phức tạp thấp và cần người dùng tương tác, nhưng không mô tả cách tệp được chuyển đến thiết bị hoặc được mở như thế nào. Apple không công bố định dạng tệp, đường đi mã, điều kiện bộ nhớ hay primitive khai thác cụ thể, vì vậy không nên suy diễn một chuỗi khai thác chi tiết từ mô tả hiện có.

Bản ghi mô tả khả năng khai thác qua mạng, không cần xác thực hoặc đặc quyền, với yêu cầu người dùng tương tác. Apple cho biết họ đã nhận được báo cáo rằng lỗi này có thể đã bị khai thác trong một cuộc tấn công cực kỳ tinh vi nhằm vào các cá nhân cụ thể sử dụng các phiên bản iOS cũ hơn. Bản ghi được cung cấp đánh dấu lỗ hổng là đã bị khai thác và có public exploit, nhưng không cung cấp payload, exploit chain, phương thức phát tán hoặc bằng chứng cho thấy mọi thiết bị đều bị nhắm mục tiêu. Chi tiết công khai về việc khai thác vẫn còn hạn chế.

Kết quả kỹ thuật được Apple nêu là việc xử lý tệp độc hại có thể dẫn đến thực thi mã tùy ý. Nếu đạt được kết quả này, mã có thể chạy với quyền mà tiến trình xử lý tệp đang có, từ đó có khả năng ảnh hưởng đến tính bí mật, toàn vẹn và sẵn sàng của thiết bị hoặc dữ liệu; đây là hệ quả có thể xảy ra, không phải bằng chứng về một vụ xâm nhập cụ thể. Bản ghi không xác nhận nâng quyền, vượt sandbox, persistence, truy cập từ xa không cần người dùng tương tác hoặc di chuyển ngang. Apple chỉ công bố rằng có báo cáo về một cuộc tấn công cực kỳ tinh vi nhằm vào các cá nhân cụ thể, nên mức độ ảnh hưởng thực tế phụ thuộc vào thiết bị, dữ liệu và lớp phòng vệ còn lại.

Nếu khai thác thành công, kẻ tấn công có thể thực thi mã tùy ý trên thiết bị hoặc trong tiến trình xử lý tệp bị ảnh hưởng. Điều này có thể dẫn đến mất tính bí mật, thay đổi dữ liệu hoặc gián đoạn hoạt động tùy thuộc vào quyền của tiến trình và các lớp bảo vệ còn lại.

• Các thiết bị xử lý tệp không tin cậy có thể trở thành điểm xâm nhập cho một cuộc tấn công có chủ đích.
• Việc thực thi mã có thể tạo điều kiện cho hành vi tiếp theo trên endpoint, nhưng bằng chứng hiện có không xác nhận sandbox escape, nâng quyền, persistence hoặc di chuyển ngang.
• Apple mô tả việc khai thác được báo cáo là nhằm vào các cá nhân cụ thể; không có bằng chứng trong dữ liệu hiện có để suy ra một sự cố diện rộng hoặc một chiến dịch ransomware.

1. Cập nhật theo đúng nhánh sản phẩm: nâng iOS và iPadOS lên 26.7.1; nâng macOS Sequoia lên 15.8.1; và nâng macOS Tahoe lên 26.7.1. Không suy diễn rằng một bản sửa lỗi đã được xác nhận cho một nhánh sẽ tự động áp dụng cho mọi nhánh khác.
2. Trên iPhone hoặc iPad, cài đặt bản cập nhật bằng Software Update hoặc cơ chế cập nhật được Apple hỗ trợ, sau đó xác minh phiên bản trong Settings > General > About. Với macOS, sử dụng Software Update, Mac App Store hoặc kênh tải phần mềm của Apple.
3. Ưu tiên xử lý các thiết bị có khả năng nhận tệp từ nguồn không tin cậy hoặc được sử dụng bởi người dùng có nguy cơ bị nhắm mục tiêu, vì bản ghi cho biết lỗi đã bị khai thác.
4. Nếu chưa thể cập nhật, coi thiết bị vẫn còn phơi nhiễm và áp dụng quy trình quản lý ngoại lệ của tổ chức. Dữ liệu hiện có không nêu một workaround cụ thể được Apple xác nhận, vì vậy không nên thay thế bản vá bằng một biện pháp giảm thiểu tự suy diễn.

Các bước kiểm tra nên tập trung vào trạng thái cập nhật của thiết bị và việc xử lý tệp không tin cậy:

1. Lập danh mục iPhone, iPad và máy Mac đang chạy các nhánh Apple OS có chứa CoreGraphics, đồng thời ghi nhận nhánh hệ điều hành và phiên bản thực tế.
2. Đối chiếu từng thiết bị với các ranh giới ảnh hưởng và bản sửa lỗi được nêu trong affected_summary; không coi việc thiết bị vẫn hoạt động bình thường là bằng chứng đã an toàn.
3. Trên iPhone hoặc iPad, xác nhận phiên bản sau cập nhật trong Settings > General > About. Với máy Mac, xác nhận bản cập nhật hệ điều hành đã hoàn tất qua cơ chế cập nhật của Apple.
4. Rà soát telemetry endpoint như một biện pháp phòng ngừa đối với hành vi thực thi mã bất thường xảy ra sau khi người dùng xử lý tệp không tin cậy. Apple không cung cấp IOC, log pattern hoặc chữ ký forensic cụ thể trong các thông báo được sử dụng cho mục này.
5. Nếu phát hiện thiết bị chưa được vá và có dấu hiệu xử lý tệp đáng ngờ, bảo toàn log và thực hiện quy trình ứng phó sự cố của tổ chức; không dùng việc không có cảnh báo để kết luận rằng thiết bị không bị khai thác.