聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
这6个漏洞分别是苹果公司在本周修复的3个漏洞（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）、位于 VMware 中的两个漏洞（CVE-2023-20867和CVE-2023-20887）以及位于 Zyxel 中的一个漏洞（CVE-2023-27992）。
CVE-2023-32434和CVE-2023-32435均可导致代码执行后果，据报道已被用于始于2019年的网络监控活动中。这起攻击活动被称为“三角定位行动 (Operation Triangulation)”，旨在部署可从受陷设备中提取大量信息的 TriangleDB，如创建、修改、删除和盗取文件，列出并终止进程，从 iCloud Keychain 中收集凭据以及追踪用户位置等。
该攻击链始于目标受害者接收到带有附件的 iMessage，在无需任何交互的情况下自动触发 payload 执行，使其成为零点击利用。卡巴斯基在最初的报告中提到，“恶意信息是畸形的，不会为用户触发任何报警或通知。”
CVE-2023-32434和CVE-2023-32435是被滥用于监控攻击中很多 iOS 漏洞中的两个。其中一个是CVE-2022-46690，它是位于 IOMobileFrameBuffer 中的一个高危界外读漏洞，可被恶意 app 武器化，利用内核权限执行任意代码。该漏洞已由苹果公司在2022年12月通过改进输入验证而修复。
卡巴斯基将 TriangleDB 标记为包含无用特性，引用 macOS 以及各种权限，访问设备的麦克风、摄像头和地址簿，可供后续使用。调查始于今年年初，当时卡巴斯基检测到自家企业网络中的攻陷情况。
鉴于漏洞已遭活跃利用的情况，联邦民用行政部门 (FCEB) 被建议应用厂商提供的补丁，保护网络免受潜在威胁。
前不久，CISA 发布警报，提醒 BIND 9 DNS 软件套件中存在3个漏洞，可触发拒绝服务条件。这3个漏洞是CVE-2023-2828、CVE-2023-2929和CVE-2023-2911，它们可遭远程利用，导致named BIND9 服务异常终止或运行named 的主机可用内存耗尽，从而导致 DoS。这是不到6个月内，ISC 第二次发布补丁修复 BIND9 中可引发 DoS 和系统失败等类似问题。
CISA提醒：严重的 Ruckus 漏洞被用于感染 WiFi 接入点
https://thehackernews.com/2023/06/us-cybersecurity-agency-adds-6-flaws-to.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~