Apple 发布紧急安全更新，以修复三个新的零日漏洞

Apple发布紧急安全更新，以修复三个新的零日漏洞WebKit浏览器引擎(CVE-2023-41993)和安全框架(CVE-2023-41991)中发现了两个错误，使攻击者能够使用恶意应用程序绕过签名验证或通过恶意制作的网页获取任意代码执行权限。第三个是在内核框架中找到的，它提供API以及对内核扩展和内核驻留设备驱动程序的支持。本地攻击者可以利用此缺陷(CVE-2023-41992)来升级权限。Apple通过解决证书验证问题和改进检查，修复了macOS12.7/13.6、iOS16.7/17.0.1、iPadOS16.7/17.0.1和watchOS9.6.3/10.0.1中的三个零日错误。该公司在描述安全漏洞的安全公告中透露，“苹果公司了解到一份报告称，iOS16.7之前的iOS版本可能已积极利用此问题。”这三个零日漏洞均由多伦多大学芒克学院公民实验室的BillMarczak和Google威胁分析小组的MaddieStone发现并报告。虽然苹果尚未提供有关漏洞利用的更多详细信息，但公民实验室和谷歌威胁分析小组的安全研究人员经常披露零日漏洞，这些漏洞被滥用在针对高风险个人的有针对性的间谍软件攻击中，其中包括记者、反对派政客、和持不同政见者。——

［安全: 小米手机发现漏洞允许远程安装恶意程序］

［安全:小米手机发现漏洞允许远程安装恶意程序］小米开发的Android定制系统MIUI发现了一个高危漏洞，允许中间人攻击者在目标设备上以系统权限远程执行任意代码。小米已经释出了修正版本，推荐用户立即升级。发现漏洞的IBM研究人员公布了漏洞的细节：漏洞存在于MIUI的分析包中，使用该分析包的应用都易被中间人远程执行代码，研究人员在包括内置浏览器在内的多个应用中发现了漏洞，如果应用有系统级权限，那么攻击者就能以系统级权限执行代码。漏洞存在的主要原因是MIUI的应用升级是通过HTTP连接。https://securityintelligence.com/remote-code-execution-in-xiaomi-miui-analytics/

谷歌三星抢先修补了Android智能机的Dirty Pipe漏洞

谷歌三星抢先修补了Android智能机的DirtyPipe漏洞本周早些时候，Google发布了2022年4月份的Android安全更新，但它并未包含对上月曝光的“DirtyPipe”漏洞的修补。庆幸的是，尽管大多数厂商可能要拖到5月才推出补丁，但谷歌和三星已经先行一步。据悉，作为Linux内核中发现的一个安全漏洞，CVE-2022-0847会允许某人在只读进程中注入并覆盖数据，而无需root或任何管理员权限。XDA-Developers指出：DirtyPipe漏洞已被用于在Android设备上实现临时root访问，但也很容易被恶意软件和其它未知软件获得系统访问权限。目前Linux内核（Kernel5.16.11、5.15.25和5.10.102）已经完成CVE-2022-0847安全漏洞的修复，但可惜谷歌尚未将它全面包含到2022年4月份的Android安全更新中。不愿等待5月安全更新的朋友，如果你正在使用Pixel6/6Pro，那现在已经能够获取谷歌在周四发布的AndroidQPR3Beta2（包含该内核补丁）。与此同时，三星也率先为旗下Galaxy设备的4月Android更新引入了该修复程序（有在安全公告中提及CVE-2022-0847），且被验证能够抵御DirtyPipe攻击。尴尬的是，小米12/12Pro的速度太过拖沓——自2月首发以来，尚未向用户提供过安全更新，此外一加等Android智能机厂商也尚未发布其4月更新。在此之前，还请广大Android智能机用户保持良好的使用习惯，尤其注意不安装来源不明的APK文件。——cnBeta

【谷歌Chrome浏览器发布针对零日漏洞的修复版本】

【谷歌Chrome浏览器发布针对零日漏洞的修复版本】6月7日消息，在6月5日的Chrome博客公告中，谷歌已确认其Chrome网络浏览器中的零日漏洞正在被积极利用，并发布了紧急安全更新作为回应。谷歌称，桌面应用程序已经更新到Mac和Linux的114.0.5735.106版本以及Windows的114.0.5735.110的版本，所有这些都将“在未来几天/几周内推出”。公告称此次更新中包含两个安全修复程序，但实际上只有一个被详细说明：CVE-2023-3079。CVE-2023-3079是V8JavaScript引擎中的类型混淆漏洞，且是谷歌Chrome2023年的第三个零日漏洞。类型混淆漏洞会带来重大风险，使攻击者能够利用内存对象处理中的弱点在目标机器上执行任意代码，强烈建议用户及时更新浏览器以减轻潜在风险。

谷歌浏览器发布紧急更新修复一个已被利用的零日漏洞

谷歌浏览器发布紧急更新修复一个已被利用的零日漏洞谷歌已经为Windows、Mac和Linux用户发布了Chrome99.0.4844.84，以解决一个被实际利用的高严重性零日漏洞。浏览器供应商在周五发布的安全公告中说：谷歌知道CVE-2022-1096的一个漏洞被利用。99.0.4844.84版本已经在稳定的桌面频道中向全球推出，谷歌表示，直到它到达整个用户群可能需要一个星期的时间。今天修复的零日漏洞（被追踪为CVE-2022-1096）是ChromeV8JavaScript引擎的一个高严重性的类型混淆弱点，由一名匿名安全研究员报告。虽然类型混淆缺陷通常会在成功利用后导致浏览器崩溃，通过读取或写入超出缓冲区的内存，攻击者也可以利用它们来执行任意代码。即使谷歌说它检测到这一零日漏洞的攻击，该公司也没有分享有关这些事件的技术细节或其他信息。——Bleepingcomputer

谷歌紧急发布 Chrome 更新，修复 Pwn2Own 大赛中报告的两个零日漏洞

谷歌紧急发布Chrome更新，修复Pwn2Own大赛中报告的两个零日漏洞https://www.ithome.com/0/758/596.htm其中一个零日漏洞追踪编号为CVE-2024-2887，主要存在于WebAssembly（Wasm）开放标准中，是一个高严重性类型混乱漏洞。安全专家ManfredPaul利用该漏洞制作了一个HTML页面，一旦用户感染，可以实现远程执行代码攻击。第二个零日漏洞追踪编号为CVE-2024-2886，在CanSecWestPwn2Own竞赛的第二天被KAIST黑客实验室的SeunghyunLee公布。该漏洞属于use-after-free类型，主要存在于WebCodecsAPI中，而很多网页应用会调用该API编码、解码音频和视频内容，远程攻击者可利用该漏洞通过精心制作的HTML页面执行任意读/写操作。