快更新到 iOS 10.1 否则骇客可以透过JPEG图片骇入你的手机

▲在Apple释出的iOS 10.1更新公告中，可以看到已将CVE-2016-4673漏洞修补起来。

▲使用者可以到手机的设定App中选择软件更新。

▲其详细的位置在设定 -> 一般 -> 软件更新。

▲Apple Watch的使用者也可更新至watchOS 3.1修复漏洞。

▲Apple TV则需更新至tvOS 10.0.1版。

▲Mac台式电脑与笔记型电脑则需更新至macOS Sierra 10.12.1版。

透过图片取得系统权限

回顾过去，也有另外1起使用图片作为跳板的著名攻击案例，就是针对Sony推出的PlayStation Portable掌上型游戏主机进行的HEN工具。

以对应2.71版固件的HEN为例，它的原理是透过主机的图片浏览器，读取动过手脚的PNG图片，并向程式输入缓冲区写入超过缓冲区容量的资料，进而引发缓冲区溢位（Buffer Overflow），如此一来便能取得系统的使用者模式（User Mode）控制权，虽不像取得核心模式（Kernel Mode）控制权，能让主机执行备份甚至盗版游戏，但却能让玩家在主机上执行如模拟器、小游戏等自制程式。

由于游戏主机不像智能手机、平板电脑、电脑等装置储存重要文件、信用卡资料、个人资料等敏感内容，所以对使用者来说危害并不大。但是如果有心人士攻击的对象是智能手机、平板电脑、电脑等装置的话，不但可能会造成档案毁损，使用者的机敏资料也可能会不慎外流，因此需要格外注意管理。

▲HEN是个只要以主机浏览特定图片，就能取得系统权限的攻击方式，影片为5.03版固件的HEN操作示范。