谷歌零项目团队披露苹果多个新漏洞，聊天图片隐藏危机昨天，谷歌零项目安全团队披露了苹果的一系列安全漏洞，涉及iPhone、iPad、Mac用户。该团队通过“Fuzzing”测试发现了苹果基本功能ImageI/O框架的6个漏洞和OpenEXR的8个漏洞。谷歌团队随后向苹果报告了这些漏洞，六个图像I/O问题在1月和4月获得了安全更新，而OpenEXR在v2.4.1中得到了修补。iOS13版本后已更新修复，用户只需将设备更新至最新版本即可。说到ImageI/O框架，可能大家还比较陌生。简单的说就是影响设备图片使用的多媒体组件。这个框架在用户打开手机相册或者微信传图的时候就派上用场了。这意味着用户设备上的图片读写存储、社交工具中的图片传输等基本都会用到这个基础框架。图像I/O框架支持最常见的图像文件格式，例如JPEG、JPEG2000、RAW、TIFF、BMP和PNG。当用户需要使用图像数据时，图像源是最好的方式。图像源抽象了数据访问任务，并节省了通过原始缓存数据管理数据的需要。数据源可以包含多个图像、缩略图、每个图像的属性和图像文件。黑客是如何利用这个框架进行攻击的？在ProjectZero团队的“Fuzzing”测试中，发现了以下6个ImageI/O漏洞：I/O框架运行不正确。或者在“模糊测试”期间向图像I/O提供意外输入，以检测框架代码中未来攻击的异常和潜在入口点。总之，通过异常媒体文件，“零点击”代码可以在目标设备上运行，无需用户干预。上图最后一个ImageI/O漏洞涉及OpenEXR图像处理内存溢出问题。该团队还对开源OpenEXR进行了“Fuzzing”测试。最终，该团队在OpenEXR中发现了八个漏洞。OpenEXR是一个用于解析EXR图像文件的开源库。它作为带有ImageI/O的第三方组件发布，ImageI/O是Apple向第三方公开的“高动态范围(HDR)图像文件格式”的框架。两个框架中的一系列漏洞都可能导致严重的用户数据泄露。此外，黑客尝试自动重启服务授权漏洞，存在执行“零点击”远程代码的可能。多媒体组件是黑客最容易受到攻击的操作系统。零号计划暴露出的一系列漏洞，都是在基础操作中容易被利用，后果严重。设备中任何新的多媒体文件，如图片、音频、视频等，都会自动传输到本地操作系统库中，并自动解析文件内容和处理。因此，利用这些多媒体组件中的漏洞可能允许在没有用户交互的情况下远程执行代码来接管设备或执行其他恶意操作。当今社会，图像传输、视频分享对于人们来说已经司空见惯。恶意代码隐藏在这些短信、电子邮件、社交媒体中，让用户的设备在网络上“裸奔”，应该是人们普遍关注的问题。今天有窃取用户图像数据的AppleImageI/O漏洞，昨天有接管MicrosoftTeams帐户的gif动画。
