Про це повідомили в блозі команди Project Zero.

Фахівці з команди аналітиків у сфері безпеки Project Zero, найняті Google, використовували метод під назвою “фаззінга”, щоб перевірити, як Image I/O (фреймворк, вбудований в усі операційні системи Apple, як iOS, macOS, tvOS і watchOS) обробляє спотворені файли зображень.

В результаті їм вдалося виявити 14 вразливостей, шість з яких зачіпають безпосередньо Image I/O. Ще вісім проблем пов’язані з OpenEXR — бібліотекою з відкритим вихідним кодом для аналізу файлів зображень EXR, яка поставляється разом з Image I/O.

Project Zero зауважили, що зловмисники можуть експлуатувати ці проблеми за допомогою месенджерів, просто відправивши жертві спеціальний файл. Ці баги можуть бути використані зловмисниками, наприклад, для віддаленого виконання коду без будь-якої участі користувача.

Фахівці запевняють, що ці баги не дозволяють отримати контроль над вразливим пристроєм, проте це питання не було детально вивчено ними.

Також експерти зазначили, що наразі частину виявлених проблем вже виправлено. Так шість багів в коді Image I/O отримали виправлення в січні та квітні, а проблеми в OpenEXR були усунені в лютому.

Project Zero висловили надію, що їх аналіз стане відправною точкою для подальшого вивчення компонентів операційних систем від Apple, які використовуються для обробки зображень та мультимедіа.

• Раніше в iPhone і iPad виявлено баг, який дозволяє зловмисникові вивести з ладу гаджет, відправивши на нього “текстову бомбу”.