CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2021-1871

Zdalne wykonanie kodu przez błąd logiczny w systemach Apple (RCE)

CVSS 9.8v3.1pub. 2021-04-02upd. 2025-10-23

Błąd logiczny w systemach Apple iOS, iPadOS oraz macOS umożliwia zdalnemu napastnikowi wykonanie dowolnego kodu bez żadnego uwierzytelnienia. Podatność jest aktywnie wykorzystywana w atakach, co potwierdza Apple oraz CISA.

▸ Pokaż oryginał (EN)

A logic issue was addressed with improved restrictions. This issue is fixed in macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 and iPadOS 14.4. A remote attacker may be able to cause arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited..

🤖 Analiza AI

Jak działa

Podatność wynika z błędu logicznego w mechanizmach nakładających ograniczenia na operacje systemowe. Napastnik zdalnie, bez interakcji użytkownika i bez posiadania jakichkolwiek uprawnień, może wysłać specjalnie spreparowane żądanie lub dane, które powodują wykonanie dowolnego kodu na urządzeniu ofiary. Apple naprawiło problem poprzez wprowadzenie ulepszonych restrykcji w logice przetwarzania.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatnym urządzeniem poprzez zdalne wykonanie dowolnego kodu (RCE), co potencjalnie prowadzi do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy niezwłocznie zaktualizować systemy do następujących wersji: iOS 14.4, iPadOS 14.4, macOS Big Sur 11.2, Security Update 2021-001 dla macOS Catalina oraz Security Update 2021-001 dla macOS Mojave. Szczegóły dostępne w biuletynach Apple HT212146 oraz HT212147.

Kogo dotyczy

Apple iOS przed wersją 14.4, Apple iPadOS przed wersją 14.4, Apple macOS Big Sur przed wersją 11.2, Apple macOS Catalina (przed Security Update 2021-001 Catalina), Apple macOS Mojave (przed Security Update 2021-001 Mojave)

Uwagi

Apple potwierdziło w swoim komunikacie, że podatność była aktywnie wykorzystywana w atakach (in-the-wild exploitation) w momencie publikacji poprawek. Podatność figuruje na liście CISA KEV.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Apple iPadOS
OS
Apple
< 14.4
Apple iOS
OS
Apple
< 14.4
Apple macOS
OS
Apple
11.0.1 – 11.2 (bez)
Apple Mac Os X
OS
Apple
10.15.710.15 – 10.15.7 (bez)
Debian
OS
Debian
10.0
Fedora Project Fedora
OS
Fedoraproject
33

CISA KEV — szczegółyi

Dostawcai: Apple ↗
Produkti: iOS, iPadOS, and macOS
Data dodania do KEVi: 3 listopada 2021
Termin remediation (USA)i: 17 listopada 2021(po terminie)

🔧Advisory Apple↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami producenta.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Apple iOS, iPadOS i macOS WebKit zawierają niezidentyfikowaną lukę logiki, która pozwala zdalnemu atakującemu na wykonanie kodu. Ta luka może wpłynąć na parsery HTML wykorzystujące WebKit, w tym między innymi Apple Safari i produkty spoza Apple'a, które opierają się na WebKit do przetwarzania HTML.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apple iOS, iPadOS, and macOS WebKit contain an unspecified logic vulnerability that allows a remote attacker to execute code. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.

🔴