پژوهش‌گران امنیت سایبری گوگل در نهایت جزئیات و بهره‌برداری‌های اثبات مفهومی ۴ مورد از ۵ آسیب‌پذیری امنیتی را منتشر کردند که به مهاجمان راه دور اجازه می‌دهد تا دستگاه‌های iOS اپل را تنها با ارسال یک پیام مخرب در iMessage هدف قرار دهند.
همه‌ی این آسیب‌پذیری‌ها که به هیچ‌گونه تعاملی با کاربر نیاز ندارند، توسط پژوهش‌گران پروژه‌ی صفر گوگل به اپل گزارش شدند و این شرکت با انتشار آخرین به‌روزرسانی iOS 12.4 آن‌ها را وصله کرد. چهار مورد از این آسیب‌پذیری‌ها مسأله‌های استفاده پس از آزادسازی و خرابی حافظه‌ی بدون تعامل هستند که به مهاجمان راه دور اجازه می‌دهد تا کد دلخواه را در دستگاه‌های iOS آسیب‌دیده اجرا کنند.
بااین‌حال، پژوهش‌گران جزئیات و بهره‌برداری‌های سه مورد از این چهار آسیب‌پذیری بحرانی اجرای کد از راه دور را منتشر کردند و یکی از آن‌ها (CVE-2019-8641) را خصوصی نگه داشتند زیرا آخرین به‌روزرسانی‌ها به‌طور کامل این مسأله را رفع نکرد.
آسیب‌پذیری پنجم (CVE-2019-8646) که یک آسیب‌پذیری خواندن خارج از محدوده است، می‌تواند به‌صورت از راه دور و تنها با ارسال یک پیام مخرب از طریق iMessage بهره‌برداری شود. اما این اشکال به جای اجرای کد، به یک مهاجم اجازه می‌دهد تا محتوای فایل‌های ذخیره‌شده در دستگاه iOS قربانی را از حافظه‌ی افشاشده بخواند. در بخش زیر جزئیات مختصری از مشاوره‌نامه‌ی امنیتی و بهره‌برداری‌های اثبات مفهومی برای هر چهار آسیب‌پذیری ذکر شده است:
آسیب‌پذیری CVE-2019-8647 (اجرای کد از راه دور از طریق iMessage): این آسیب‌پذیری یک آسیب‌پذیری استفاده پس از آزادسازی است که در چارچوب Core Data مربوط به iOS وجود دارد که ممکن است به‌خاطر Deserialization ناامن در زمان استفاده از روش NSArray initWithCoder منجر به اجرای کد دلخواه شود.
آسیب‌پذیری CVE-2019-8662: این آسیب‌پذیری شبیه به آسیب‌پذیری استفاده پس از آزادسازی ذکرشده در بالا است که در مؤلفه‌ی QuickLook مربوط به iOS وجود دارد و می‌تواند به‌صورت از راه دور از طریق iMessage بهره‌برداری شود.
آسیب‌پذیری CVE-2019-8660 (اجرای کد از راه دور از طریق iMessage): یک مسأله‌ی خرابی حافظه است که در چارچوب Core Data و مؤلفه‌ی Siri وجود دارد که در صورت بهره‌بردای موفقیت‌آمیز به مهاجمان راه دور اجازه می‌دهد تا برنامه‌ای را به‌طور غیرمنتظره خاتمه دهد و یا کد دلخواه را اجرا کند.
آسیب‌پذیری CVE-2019-8646 (خواندن فایل از طریق iMessage): این آسیب‌پذیری که در مؤلفه‌های Siri و Core Data iOS وجود دارد به یک مهاجم اجازه می‌دهد تا محتوای فایل‌های ذخیره‌شده در دستگاه‌های iOS را به‌صورت از راه دور و بدون تعامل با کاربر بخواند.
علاوه‌براین پنج آسیب‌پذیری، هفته‌ی گذشته جزئیات و بهره‌برداری اثبات مفهومی یک آسیب‌پذیری خواندن خارج از محدوده منتشر شد که به مهاجمان راه دور اجازه می‌دهد تا حافظه را افشا کنند و فایل‌هایی را از دستگاه راه دور بخوانند. این آسیب‌پذیری که شناسه‌ی CVE-2019-8624 به آن اختصاص داده شده است، در مؤلفه‌ی Digital Touch مربوط به watchOS وجود دارد و اپل واچ سری ۱ و بعد از آن را تحت تأثیر قرار می‌دهد. این مسأله در ماه جاری توسط اپل و با انتشار watchOS 5.3 وصله شده است.
از آن‌جا که درحال‌حاضر بهره‌برداری‌های اثبات مفهومی برای هر ۶ آسیب‌پذیری در دسترس عموم است، به‌شدت به کاربران توصیه می‌شود که دستگاه‌های اپل خود را هر چه سریع‌تر به آخرین نسخه‌ی نرم‌افزار به‌روزرسانی کنند.
