목요일, Apple은 이전에 보고한 대로 새로운 기능은 없지만 보안 취약점을 수정한 iOS 16.6.1을 공개적으로 출시했습니다.

흥미롭게도 iOS 16.6.1은 페가수스 스파이웨어가 사용하는 익스플로잇도 수정한 것으로 확인되었습니다.

외신 보도에 따르면, 정부 멀웨어를 조사하는 그룹인 시티즌랩은 공격자가 NSO 그룹의 페가수스 스파이웨어로 피해자를 공격할 수 있는 iOS의 제로 클릭 익스플로잇을 발견했습니다. "이 익스플로잇 체인은 피해자와의 상호 작용 없이 최신 버전의 iOS(16.6)를 실행하는 iPhone을 손상시킬 수 있었습니다."라고 Citizen Lab은 블로그 게시물에 썼습니다.

이 취약점을 발견하자마자 시티즌랩은 즉시 애플에 보고했고, 애플은 iOS 16.6.1에서 이 문제를 해결하기 위한 패치를 배포했습니다. 애플은 이 문제를 알려준 시티즌랩에 감사의 뜻을 표했습니다.

"이번 발견은 시민 사회가 고도로 정교한 익스플로잇과 용병 스파이웨어의 표적이 되고 있음을 다시 한 번 보여줍니다."라고 시티즌랩은 설명합니다.

잘 모르시는 분들을 위해 설명하자면, 페가수스는 정부 및 법 집행 기관을 염두에 두고 개발되었습니다. NSO 그룹은 일반 사용자에게는 스파이웨어를 판매하지 않습니다. 하지만 페가수스를 구매한 대부분의 국가는 인권을 침해하는 것으로 알려져 있어 언론인이나 정치적 반대자 같은 사람들을 위험에 빠뜨리고 있습니다.

2021년 11월, 애플은 스파이웨어를 제작하고 배포한 혐의로 NSO 그룹을 고소했습니다.

+ 추가로 애플은 애플월렛 취약점도 수정했습니다.

오늘 오후 아이폰 사용자들을 위해 iOS 16.6.1을 출시한 후, 애플은 이번 업데이트에서 유도된 보안 수정에 대한 자세한 내용도 발표했습니다. 애플은 iOS 16.1.1이 두 가지 주요 보안 취약점을 패치하고 있으며, 이 두 가지는 모두 "적극적으로 악용되었을 수 있다"고 말합니다.

iOS 16.6.1의 첫 번째 수정 사항은 대부분의 이미지 파일 형식을 읽고 쓸 수 있고 이미지의 메타데이터에 액세스할 수 있는 Apple의 프레임워크인 Image I/O와 관련이 있습니다. Apple은 이 취약성과 수정 사항에 대해 다음과 같은 세부 정보를 공유했습니다.

영향: 악의적으로 조작된 이미지를 처리하면 임의 코드가 실행될 수 있습니다. 애플은 이 문제가 적극적으로 악용되었을 수 있다는 보도를 인지하고 있습니다.

설명: 향상된 메모리 처리를 통해 버퍼 오버플로 문제가 해결되었습니다.

CVE-2023-41064:토론토 대학 멍크 스쿨의 시민 실험실

iOS 16.6.1의 두 번째 취약점은 애플 월렛 앱에 영향을 미쳤습니다.

영향: 악의적으로 조작된 첨부 파일이 임의 코드를 실행할 수 있습니다. 애플은 이 문제가 적극적으로 악용되었을 수 있다는 보도를 인지하고 있습니다.

설명: 향상된 논리로 유효성 검사 문제를 해결했습니다.

CVE-2023-41061: 애플

Image I/O 버그는 오늘 발표된 macOS Ventura 13.5.2와 함께 패치되었지만 macOS는 Wallet 취약성에 영향을 받지 않았습니다. Apple Watch 사용자의 경우 watchOS 9.6.2가 Apple Wallet 버그를 해결했지만 플랫폼은 Image I/O 버그의 영향을 받지 않았습니다.