iOS 14.5将引入修复补丁：阻止“零点击”漏洞攻击

发布时间：2021-02-23 16:57:55来源：同步推

几位恶意软件研究人员宣称，iOS14.5中即将引入的一项改动，使“零点击”（ZeroClick）漏洞更加难以被利用，从而保护用户设备安全。

据悉，苹果悄然改变了在iOS14.5Beta测试版本上的代码运行方式，更多细节有望在下一次公开推送时披露。

具体说来是，该公司添加了指针验证码（PAC），以保护用户免受通过内存破坏来注入恶意代码的攻击。在调用之前，系统将会验证所谓的ISA指针，后者是一种告知iOS程序要运行什么代码的安全特性。

一位研究人员指出，其在2月初的反向工程工作期间，发现了iOS14.5Beta测试版本中引入的这项新变化。与此同时，苹果还在2月28日公开发布的新版《平台安全性指南》中分享了有关PAC的一些细节。

研究人员向Motherboard表示，这项安全性缓解措施，将使得零点击漏洞的利用过程变得更加难以实现。这类攻击特指攻击者无需用户进行任何干预，即可对iPhone发起入侵，甚至通过复杂的技术手段，从iOS内置隔离的沙盒安全机制中逃逸。

苹果发言人亦在接受外媒采访时称，该公司相信这项改变将使得零点击漏洞攻击变得更加难以实现，但也补充道，设备安全性并不取决于单一的缓解策略，而是需要借助一系列的组合拳。

安全研究人员表示，尽管不能完全排除，但新措施可以提升相关标准，让此类攻击的利用成本大幅提升。

在此之前，零点击漏洞已被用于针对iPhone用户的几次引人注目的攻击。比如2016年的时候，阿联酋方面就利用名为Karma的黑客工具，侵入了数百部的iPhone。

此外2020年的一份报告表明，零点击漏洞被用于监视37名记者的iPhone，且谷歌ProjectZero安全团队还发现了其它潜在的零点击攻击漏洞。