高危保安警報 (A18-01-06): Apple iOS 多個漏洞

描述:

Apple 在2018年1月8日發布軟件更新，以應對在 iOS 11.2.2 之前版本中的「Meltdown」和「Spectre」的CPU保安問題。該問題濫用了現今 CPU 微型處理器中的推測執行(speculative execution)功能，讓未授權的程序(例如惡意程式)能夠讀取儲存在另一運行程序中記憶體內的數據。攻擊者需要在受影響的裝置上開啟特製內容的網頁從而攻擊這些保安問題。

用戶應立即採取行動修補受影響的iOS裝置以降低「Meltdown」及「Spectre」的 CPU 問題的風險。

受影響的系統:

• iPhone 5s及之後的型號
• iPad Air 及之後的型號
• iPod touch (第6代)

影響:

成功利用這些漏洞可以導致遠端執行程式碼、提高權限或泄漏資訊。

建議:

產品供應商發行了 iOS 11.2.2 應對以上問題。

用戶可透過產品本身的自動更新裝置來更新軟件。受影響系統的用戶應遵從產品供應商的建議，立即採取行動以降低風險。

進一步資訊:

https://support.apple.com/en-hk/HT208401
https://www.hkcert.org/my_url/zh/alert/18010401
https://www.us-cert.gov/ncas/current-activity/2018/01/08/Apple-Releases-Multiple-Security-Updates
https://spectreattack.com/
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5715
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5753