CVE-2023-23529:Apple WebKit任意代码执行漏洞通告
2023-02-14 15:32

报告编号:B6-2023-021401

报告来源:360CERT

报告作者:360CERT

更新日期:2023-02-14

0x01   漏洞简述

2023年02月14日,360CERT监测发现Apple发布了Apple WebKit的风险通告,漏洞编号为CVE-2023-23529,漏洞等级:高危,漏洞评分:8.8。已知该漏洞影响了iPhone 8 及更新机型、iPad Pro(所有机型)、iPad Air 第三代及更新机型、iPad 第五代及更新机型、iPad mini 第五代及更新机型、运行 macOS Ventura 的 Mac等。

WebKit 是一个开源的浏览器引擎,主要用于Safari,Dashboard,Mail和其他一些Mac OS X程序。WebKit 还支持移动设备和手机,包括 iPhone 和 Android 手机都是使用 WebKit 作为浏览器的核心。

对此,360CERT建议广大用户及时将Apple WebKit升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

0x02   风险等级

360CERT对该漏洞的评定结果如下

评定方式等级
威胁等级高危
影响面广泛
攻击者价值
利用难度
360CERT评分8.8

0x03   漏洞详情

CVE-2023-23529: Apple WebKit 代码执行漏洞

CVE: CVE-2023-23529

组件: WebKit

漏洞类型: 代码执行

影响: 用户设备完全控制

简述: 该漏洞存在于Apple WebKit 中,是一个类型混淆漏洞,未经身份认证的远程攻击者诱骗受害者访问其特制的恶意网站,使WebKit处理网页内容时触发类型混淆错误,最终在目标系统上实现任意代码执行。

0x04   影响版本

组件影响版本安全版本
Apple macOS Ventura< 13.2.1>= 13.2.1
Apple iOS< 16.3.1>=16.3.1
iPadOS< 16.3.1>=16.3.1

0x05   修复建议

通用修补建议

根据影响版本中的信息,排查并升级到安全版本

0x06   产品侧解决方案

若想了解更多产品信息或有相关业务需求,可移步至http://360.net。

360企业安全云

用户可以通过安装360安全卫士并进行全盘杀毒来维护计算机安全。360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

360威胁情报平台(TIP)

360威胁情报平台(TIP)一款构建全面情报管理、赋能、评价、分享能力的新一代本地化情报平台。可以用来增强对关键威胁的检测;可以自动化识别报警中的重点事件;还可以提供情报分析、外部攻击面管理、行业威胁情报等高阶能力,帮助组织全面应对数字时代的安全风险。

360安全卫士

Windows用户可通过360安全卫士实现对应补丁安装、漏洞修复、恶意软件查杀,其他平台的用户可以根据修复建议列表中的安全建议进行安全维护。

360CERT建议广大用户使用360安全卫士定期对设备进行安全检测,以做好资产自查以及防护工作。

360本地安全大脑

360本地安全大脑是将360云端安全大脑核心能力本地化部署的一套开放式全场景安全运营平台,实现安全态势、监控、分析、溯源、研判、响应、管理的智能化安全运营赋能。360本地安全大脑已支持对相关漏洞利用的检测,请及时更新网络神经元(探针)规则和本地安全大脑关联分析规则,做好防护。

0x07   时间线

2023-02-13 Apple官方发布通告

2023-02-14 360CERT发布通告

0x08   参考链接

1、 https://support.apple.com/en-us/HT213635

2、 https://support.apple.com/en-us/HT213633