一個安全專家團隊聲稱發現了一類“新型”漏洞，攻擊者可以利用這些漏洞繞過科技巨頭 Apple 在 iOS 和 macOS 中的安全措施，從而訪問用戶的敏感數據。
漏洞通用漏洞評分系統 (CVSS) 的評分介於 5.1 和 7.1 之間，嚴重程度從中等到嚴重不等。惡意軟件和漏洞可能能夠通過利用這些缺陷訪問個人數據，例如用戶的消息、位置信息、通話記錄和圖像。
Trellix 的發現與 Google 和 Citizen Lab 之前的工作一致，他們，在 2021 年，發現了一個名為 ForcedEntry 的新零日漏洞，以色列間諜軟件製造商 NSO Group 利用該漏洞在其政府客戶的指導下遠程秘密入侵 iPhone。
為了防止使用在攻擊發生後，Apple 隨後通過包括新的代碼簽名緩解措施來改進其設備安全防禦，這些緩解措施以加密方式確認設備的軟件是可信的並且沒有被更改。不過，Trellix 聲稱 Apple 的緩解措施不足以阻止類似的攻擊。
在博客文章中，Trellix 寫道，最新的問題影響了 NSPredicate，這是一個允許程序員過濾代碼的程序。在 ForcedEntry 錯誤之後，Apple 使用 NSPredicateVisitor 協議加強了對 NSPredicate 的限制。儘管如此，Trellix 聲稱幾乎所有 NSPredicateVisitor 實現都可能被避免。
不過，據報導，Apple 已經在 iOS 16.3 和 macOS 13.2 中解決了這些問題，用戶應該更新他們的 iPhone 和 MacBook 以保持安全。
安全專家報告說，coreduetd 是一種收集有關用戶在設備上的行為信息的軟件，是他們在此類新型缺陷下發現的第一個漏洞。
對於在具有必要權限的進程（例如 Messages 或 Safari）中執行代碼的攻擊者來說，發送惡意 NSPredicate 並使用該進程的權限執行代碼是可能的。研究人員表示，由於在 macOS 上以根用戶身份運行的進程，攻擊者可以訪問用戶的日曆、地址簿和圖像。