Giu 14, 2024 Attacchi, In evidenza, News, Prodotto, Vulnerabilità

---

Il 10 giugno Apple ha pubblicato una serie di aggiornamenti di sicurezza per visionOS, aggiornando il sistema operativo alla versione 1.2. Tra i bug risolti spicca CVE-2024-27812, considerata potenzialmente la prima vulnerabilità legata nello specifico a Vision Pro.

“Questa sembra essere l’unica CVE specifica per l’headset Vision Pro, dal momento che non è presente negli advisory di altri prodotti Apple oltre a visionOS” fa notare Eduard Kovacs di Bleeping Computer.

La vulnerabilità in questione permetterebbe a un attaccante di eseguire un attacco di denial of service sfruttando dei contenuti web appositamente creati. Apple ha dichiarato di aver migliorare il protocollo per la gestione dei file, ma non ha fornito altri dettagli sul funzionamento dell’exploit.

A individuare la vulnerabilità è stato il ricercatore di sicurezza Ryan Pickren. Alla redazione di Bleeping Computer Pickren ha confermato che si tratta di un bug specifico di Vision Pro e che secondo lui è “il primo hack di spatial computing“.

L’aggiornamento dell’OS di Vision Pro comprende anche la risoluzione di otto vulnerabilità di WebKit e dei suoi componenti che possono portare all’esecuzione di codice arbitrario, al fingerprinting dell’utente e in un caso anche all’interruzione del servizio.

Apple ha risolto anche due vulnerabilità presenti in CoreMedia: la prima, la CVE-2024-27817, consente a un attaccante di eseguire codice arbitrario con privilegi di kernel; la seconda, la CVE-2024-27831 era un bug di out-of-bounds write che, quando viene processato un file, può portare alla chiusura improvvisa dell’applicazione o all’esecuzione di codice arbitrario.

Si consiglia agli utenti di aggiornare il prima possibile il sistema operativo.

---

• aggiornamento di sicurezza, Apple, bug, Vision Pro, visionOS, vulnerabilità

---

---