苹果连续两天发布了几个重要的补丁。iOS 14.8.1是在iOS 14.8发布一个月后发布的，针对的是那些不想将iphone升级到iOS 15的用户。这一更新也令人感到意外，因为它事先没有进行beta测试。

今年早些时候，苹果公司宣布，用户可以选择在iOS 15发布后立即升级，或者继续使用iOS 14，但仍会收到重要的安全更新。

现在，差异开始显现。在下表中可以看到，有些补丁是针对14.8.1的，有些补丁是针对15.1的，而许多补丁是在它们之间共享的。共覆盖了24个cve。

版本 15.1 14.8.1
发布日期 25-Oct-21 26-Oct-21
cve - 2021 - 30907 cve - 2021 - 30907
cve - 2021 - 30917 cve - 2021 - 30917
cve - 2021 - 30903 cve - 2021 - 30903
cve - 2021 - 30905 ————
cve - 2021 - 30919 cve - 2021 - 30919
cve - 2021 - 30881 ————
cve - 2021 - 30900 cve - 2021 - 30900
cve - 2021 - 30914 ————
cve - 2021 - 30906 ————
cve - 2021 - 30894 ————
cve - 2021 - 30886 ————
cve - 2021 - 30909 cve - 2021 - 30909
cve - 2021 - 30916 cve - 2021 - 30916
cve - 2021 - 30910 ————
cve - 2021 - 30911 ————
cve - 2021 - 30875 ————
cve - 2021 - 30915 ————
cve - 2021 - 30902 cve - 2021 - 30902
cve - 2021 - 30887 ————
cve - 2021 - 30888 cve - 2021 - 30888
cve - 2021 - 30889 ————
cve - 2021 - 30890 ————
———— cve - 2021 - 30883
———— cve - 2021 - 30918

那些脱颖而出的

出于可以理解的原因，苹果总是对修复的部分讳言不透，但从我们所能了解的情况来看，这些是最令人担忧的漏洞类型。

海拔的特权

cve - 2021 - 30906:由于watchOS的iCloud组件存在漏洞，本地攻击者可能会提升自己的权限。利用时需要一个简单的身份验证。

cve - 2021 - 30907:由于watchOS的Audio组件存在漏洞，恶意应用程序可能能够提升特权。攻击必须在局部进行。使用时需要单独的身份验证。

执行任意代码

cve - 2021 - 30881:由于watchOS的FileProvider组件存在漏洞，解包恶意制作的存档文件可能会导致任意代码执行。攻击可能远程发起。成功利用不需要任何形式的身份验证。它要求受害者进行某种用户交互。

cve - 2021 - 30883由于Apple tvOS的IOMobileFrameBuffer组件存在漏洞，应用程序可以使用内核特权执行任意代码。这个问题可能被积极利用了。正如以前讨论的在这里．

cve - 2021 - 30886:由于Apple tvOS (Digital Media Player)的内核组件存在漏洞，应用程序可能能够使用内核特权执行任意代码。本地攻击是必需的。使用时需要单独的身份验证。

cve - 2021 - 30889:由于苹果tvOS的WebKit组件存在漏洞，处理恶意制作的网页内容可能会导致任意代码执行。攻击可以远程发起。这种利用不需要任何形式的身份验证。它要求受害者进行某种用户交互。

cve - 2021 - 30894:由于智能手机操作系统的图像处理组件存在漏洞，应用程序可能能够使用内核特权执行任意代码。攻击需要在当地进行。开发的需求是身份验证。

cve - 2021 - 30900:由于智能手机操作系统的GPU驱动程序组件存在漏洞，恶意应用程序可能会使用内核特权执行任意代码。攻击必须在局部进行。使用时需要身份验证。

cve - 2021 - 30902:由于智能手机操作系统的语音控制组件有漏洞，本地攻击者可能会导致应用程序意外终止或任意执行代码。利用所需要的是一个简单的身份验证。

cve - 2021 - 30903:由于智能手机操作系统的Continuity Camera组件存在漏洞，本地攻击者可能会导致应用程序意外终止或任意执行代码。利用的需求是一个简单的身份验证。

cve - 2021 - 30909:在Apple macOS 12.0之前的内核组件中发现一个漏洞。应用程序可以使用内核特权执行任意代码。本地攻击是必需的。成功的利用需要一个简单的身份验证。

cve - 2021 - 30914:由于智能手机操作系统的GPU驱动组件存在漏洞，应用程序可能会使用内核特权执行任意代码。要处理这种攻击，需要进行本地访问。一个单一的身份验证是利用的必要条件。

cve - 2021 - 30916:由于智能手机操作系统的内核组件存在漏洞，恶意应用程序可能会利用内核特权执行任意代码。本地攻击是必需的。成功的开发需要验证。

cve - 2021 - 30917:由于watchOS的ColorSync组件存在漏洞，处理恶意制作的图像可能会导致任意代码执行。攻击可以远程发起。利用不需要任何形式的身份验证。成功的利用需要受害者与用户的互动。

cve - 2021 - 30919由于智能手机操作系统的CoreGraphics组件存在漏洞，处理恶意制作的PDF文件可能会导致任意代码执行。攻击可以远程发起。这种利用不需要任何形式的身份验证。它要求受害者进行某种用户交互。

缓解

苹果建议用户升级到iOS 15.1和iPadOS 15.1或iOS 14.8.1和iPadOS 14.8.1这可以通过自动更新功能或iTunes来实现。

保持安全,大家好!