苹果推迟明年 iPhone 和 Mac 软件的开发工作以修复现有漏洞

苹果推迟明年 iPhone 和 Mac 软件的开发工作以修复现有漏洞 苹果公司推迟了明年 iPhone、iPad、Mac 和其他设备软件更新的开发，以便能够根除代码中的故障。 据知情人士透露，苹果上周在内部向员工宣布了这一消息，旨在帮助在早期版本中出现大量错误后保证质量控制。 知情人士表示，苹果公司工程师现在的任务不是增加新功能，而是修复缺陷并提高软件性能。

苹果发布更新修复两个关键的安全漏洞

苹果发布更新修复两个关键的安全漏洞 苹果公司本周为iPhone、iPad和Mac发布了重要的软件更新，修复了苹果公司已知的被攻击者积极利用的两个安全漏洞。 这两个漏洞是在WebKit（为Safari和其他应用程序提供动力的浏览器引擎）和内核（基本上是操作系统的核心）发现的。这两个漏洞同时影响了iOS和iPadOS以及macOS Monterey。 苹果公司说，如果有漏洞的设备访问或处理 "恶意制作的网页内容可能导致任意代码执行"，WebKit的漏洞就会被利用，而第二个漏洞允许恶意应用程序 "以内核权限执行任意代码"，这意味着对设备的完全访问。这两个缺陷被认为是相关的。... 苹果公司表示，iPhone 6s及以后的机型、iPad Air 2及以后的机型、iPad第五代及以后的机型、iPad mini 4及以后的机型和iPod touch（第七代），以及所有iPad Pro机型都受到影响。

谷歌紧急发布 Chrome 更新，修复 Pwn2Own 大赛中报告的两个零日漏洞

谷歌紧急发布 Chrome 更新，修复 Pwn2Own 大赛中报告的两个零日漏洞 其中一个零日漏洞追踪编号为 CVE-2024-2887，主要存在于 WebAssembly（Wasm）开放标准中，是一个高严重性类型混乱漏洞。 安全专家 Manfred Paul 利用该漏洞制作了一个 HTML 页面，一旦用户感染，可以实现远程执行代码攻击。 第二个零日漏洞追踪编号为 CVE-2024-2886，在 CanSecWest Pwn2Own 竞赛的第二天被 KAIST 黑客实验室的 Seunghyun Lee 公布。 该漏洞属于 use-after-free 类型，主要存在于 WebCodecs API 中，而很多网页应用会调用该 API 编码、解码音频和视频内容，远程攻击者可利用该漏洞通过精心制作的 HTML 页面执行任意读 / 写操作。

#苹果紧急推送 iOS 18.3.2，修复 WebKit 安全漏洞

#苹果紧急推送 iOS 18.3.2，修复 WebKit 安全漏洞 2025 年 3 月 12 日，苹果紧急发布 iOS 18.3.2 更新，修复 WebKit 组件中的 重大安全漏洞。该漏洞最早可追溯至 iOS 17.2，可能被恶意网页利用，以突破 网页内容沙箱，影响用户设备的安全。 适用于机型： • iPhone XS 及更新机型 • iPad Pro 13 英寸 • iPad Pro 12.9 英寸（第三代及更新机型）等 漏洞影响： 苹果表示，该漏洞可能已被用于针对 iOS 17.2 及更早版本的特定用户进行复杂攻击。攻击者可借助恶意网页 绕过系统保护机制，执行未经授权的操作。 修复措施： 此次更新 改进了检查机制，修复了越界写入问题，以防止未经授权的访问。苹果建议 #所有受支持设备的用户尽快更新，避免潜在安全风险。 #新闻 #曝光 #跑路 #东南亚 全网曝光@RJJJJ 聊天大群@DDDDA 灰产新闻@xinwenDD

苹果的A/M芯片也被发现推测执行漏洞 苹果称将通过软件更新修复

苹果的A/M芯片也被发现推测执行漏洞 苹果称将通过软件更新修复 研究人员利用漏洞绕过了 Safari 浏览器的安全机制，得以推测性的读取 Safari 浏览器中的数据。这个问题实际上影响的是 WebKit 内核，因此 iOS/iPadOS 上的第三方浏览器例如 Chrome、Firefox 也受影响。 苹果确认这个问题的存在也发布了 macOS 的缓解措施，但缓解措施是默认禁用的。研究人员目前并未发现该漏洞被利用的证据，但这个漏洞被利用也不容易被发现。

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞 该公司本周发布的紧急更新影响到其Chrome浏览器的近30亿用户，以及那些使用其他基于Chromium的浏览器，如微软Edge、Brave和Vivaldi。 这是谷歌今年不得不为Chrome浏览器发布的第三个此类紧急更新。 其中一个缺陷是一个被追踪为CVE-2022-1364的类型混淆漏洞，这是一个高严重性的零日漏洞，正被攻击者积极滥用。在类型混淆漏洞中，程序将使用一种类型分配资源，如指针或对象，但随后将使用另一种不兼容的类型访问该资源。在某些语言中，如C和C++，该漏洞会导致越界内存访问。 这种不兼容会导致浏览器崩溃或引发逻辑错误。它有可能被利用来执行任意代码。 theregister