Een kwetsbaarheid in iOS en macOS maakt het mogelijk voor aanvallers om door middel van een malafide afbeelding willekeurige code op iPhones, iPads en Macs uit te voeren. Apple heeft beveiligingsupdates uitgebracht om de problemen te verhelpen. IOS en iPadOS 26.6 verhelpen in totaal 87 kwetsbaarheden. Vijf daarvan maken 'code execution' mogelijk. De problemen zijn aanwezig in AppleDouble, ImageIO en SceneKit.
In het geval van het ImageIO-lek doet het probleem zich voor bij het verwerken van malafide afbeeldingen. Bij de andere vier moet er een speciaal geprepareerd malafide bestand worden verwerkt. Apple maakt geen melding van actief misbruik van de kwetsbaarheden. Beveiligingslekken in ImageIO zijn in het verleden echter vaker misbruikt door aanvallers. Zo werden de kwetsbaarheden gebruikt om iPhones met spyware te infecteren. Apple geeft geen verdere details over de problemen.
Daarnaast zijn ook meerdere beveiligingslekken verholpen die zijn te misbruiken door een aanvaller met fysieke toegang. Het gaat onder andere om een lek in DriverKit. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller met fysieke toegang om 'gevoelige gebruikersinformatie' te bekijken. Wat deze informatie precies inhoudt laat Apple niet weten. Het techbedrijf heeft ook verschillende kwetsbaarheden verholpen waardoor apps toegang tot 'gevoelige gebruikersdata' kunnen krijgen, maar wederom wordt niet gemeld wat deze data precies is.
Veel van de kwetsbaarheden die in iOS en iPadOS zijn verholpen bevinden zich ook in macOS. Met macOS Tahoe 26.6 heeft Apple echter nog meer problemen verholpen, 155 in totaal. Naast de vijf code execution-lekken die ook in iOS en iPadOS aanwezig zijn, is er in het geval van macOS ook nog een zesde kwetsbaarheid die een dergelijke aanval mogelijk maakt. Dit probleem is aanwezig in HFS en doet zich voor bij het verwerken van malafide images. Een kwetsbaarheid in de Siri-versie van macOS maakt het mogelijk voor een aanvaller met fysieke toegang tot een vergrendelde Mac om toegang tot contacten en foto's van de gebruiker te krijgen. De updates voor de verschillende platforms zijn via de updatefunctie te downloaden.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
