上周，蘋果修復了iOS 12.4中iMessage的五個漏洞，而這些漏洞背後的功臣並不是蘋果本身，而是谷歌安全團隊Project Zero的兩名成員。最近其中壹個成員已經發布了四個漏洞的細節和攻擊代碼進行演示，而另壹個則因為iOS 12.4的更新並沒有完全解決漏洞而保密。
綜合外電報道，蘋果公司上周發布了iOS 12.4的安全更新，並未對功能進行明顯改進，但修復了36個安全漏洞。其中5個漏洞是由谷歌Project Zero的兩位研究人員娜塔莉·席爾瓦諾維奇(Natalie Silvanovich)和塞繆爾·格羅(Samuel Gro？)* * *隨著提議。包括CVE-2019-8647、CVE-2019-8662、CVE-2019-8660、CVE-2019-8646和CVE-2019-。周壹(29日)，希爾凡·維基在推特上公布了其中四人的詳細情況。
根據蘋果發布的iOS 12.4的安全內容，CVE-2019-8647屬於“釋放內存使用錯誤”的問題，允許遠程攻擊者執行任意代碼，蘋果選擇通過改進內存管理機制來解決。另壹方面，CVE-2019-8662允許遠程攻擊者在應用程序中觸發“使用釋放的內存時出錯”，從而使不受信任的NSDictionary被反序列化。蘋果在報告中指出，已經通過改進檢查機制解決了這個問題。
CVE-2019-8646是壹個越界讀取漏洞，遠程攻擊者可以通過該漏洞泄漏內存；CVE-2019-8660和CVE-2019-8641都是內存損壞漏洞，遠程攻擊者可以導致程序突然停止或執行任意程序。然而，西爾維婭·維基還沒有公布CVE的詳細信息。
希爾凡·維基表示，CVE-2019-8641、CVE-2019-8647、CVE-2019-8660和CVE-2019-8662是四個安全漏洞。遠程攻擊者只需向受害者的手機發送壹條格式錯誤的消息。壹旦用戶打開並查看收到的項目，惡意代碼就會被執行。
Hilvan Vicky將於下周在拉斯維加斯舉行的黑帽安全會議上分享細節，並就遠程和交互式iPhone漏洞進行演示。
科技網站ZDNet引用漏洞交易平臺Zerodium的價格表指出，與上述漏洞類似，每件物品在平臺上的標價可達654.38+0萬美元以上。這意味著希爾凡·維基可以說暴露了價值超過500萬美元(約合人民幣3451.5萬元)的漏洞，甚至達到1.00萬美元。根據漏洞研究公司Crowdfense的估算，這些iOS漏洞很容易被估算在200萬到400萬美元之間，總價值可能高達100萬到2400萬美元(約合人民幣654.38+065.722萬元)。