Apple retter "0-dages" browserfejl rettet for 2 uger siden i Chrome, Edge

Apple har fjernet sine seneste patches og rettet mere end 50 CVE-nummererede sikkerhedssårbarheder i sit udvalg af understøttede produkter.

De relevante sikkerhedsbulletiner, opdateringsnumre og hvor du kan finde dem online er som følger:

• APPLE-SA-2022-07-20-1: iOS 15.6 og iPadOS 15.6, detaljer kl HT213346
• APPLE-SA-2022-07-20-2: macOS Monterey 12.5, detaljer kl HT213345
• APPLE-SA-2022-07-20-3: macOS Big Sur 11.6.8, detaljer kl HT213344
• APPLE-SA-2022-07-20-4: Sikkerhedsopdatering 2022-005 Catalina, detaljer kl HT213343
• APPLE-SA-2022-07-20-5: tvOS 15.6, detaljer kl HT213342
• APPLE-SA-2022-07-20-6: se OS 8.7, detaljer kl HT213340
• APPLE-SA-2022-07-20-7: Safari 15.6 detaljer kl HT213341

Som sædvanligt med Apple er Safari-browserpatcherne samlet i opdateringerne til det seneste macOS (Monterey) såvel som i opdateringerne til iOS og iPad OS.

Men opdateringerne til de ældre versioner af macOS inkluderer ikke Safari, så den selvstændige Safari-opdatering (se HT213341 ovenfor) gælder derfor for brugere af tidligere macOS-versioner (både Big Sur og Catalina er stadig officielt understøttet), som skal downloade og installere to opdateringer, ikke kun én.

En honorær nul-dag

Forresten, hvis du har en Mac med en tidligere version af macOS, glem ikke den anden download til Safari, fordi det er livsvigtigt, i hvert fald så vidt vi kan se.

Det skyldes, at en af ​​de browserrelaterede patches i denne opdateringsrunde omhandler en sårbarhed i WebRTC (internetkommunikation i realtid) kendt som CVE-2022-2294...

…og hvis det tal lyder bekendt, så burde det det, for det er den samme fejl, der var fastsat som en nul-dag af Google i Chrome (og af Microsoft i Edge) for omkring to uger siden:

Spændende nok har Apple ikke erklæret nogen af ​​denne måneds sårbarheder som "rapporteret at være i naturen" eller som "nul-dages fejl", på trods af den ovennævnte patch, der blev døbt et nul-dages hul af Google.

Om det er fordi fejlen ikke er så let at udnytte i Safari, eller simpelthen fordi ingen har sporet nogen Safari-specifik fejl opførsel tilbage til denne særlige fejl, kan vi ikke fortælle dig, men vi behandler det som en "æres" zero-day” sårbarhed, og patching nidkært som følge heraf.

Pwn2Own hul lukket

Apple har tilsyneladende også rettet fejlen fundet af den tyske cybersikkerhedsforsker Manfred Paul ved den nylige Pwn2Own-konkurrence i Canada, tilbage i maj 2022.

Seneste podcast 🎧 Lyt nu! Firefox & Pwn2Own, Apple og en 0-dag... og matematikken, der besejrede Pythagoras.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Naked Security (@NakedSecurity) Maj 20, 2022

Manfred Paul udnyttede Firefox med en fejl i to trin, der indbragte ham $100,000 ($50,000 for hver del), og kom også ind i Safari for en yderligere $50,000 dusør.

Faktisk udgav Mozilla sin rettelse til Pauls fejl inden for to dage for at modtage hans rapport hos Pwn2Own:

Apple, derimod, tog to måneder at levere sin post-Pwn2Own patch:

WebKit

Indvirkning: Behandling af ondsindet webindhold kan føre til vilkårlig kodeudførelse

Beskrivelse: Et skriveproblem uden for grænserne blev løst med forbedret inputvalidering.

CVE-2022-32792: Manfred Paul (@_manfp) arbejder med Trend Micro Zero Day Initiative [Pwn2Own]

Husk dog, at ansvarlig offentliggørelse er en del af Pwn2Own-konkurrencen, hvilket betyder, at enhver, der gør krav på en præmie, ikke kun skal aflevere alle detaljer om deres udnyttelse til den berørte leverandør, men også at tie om sårbarheden, indtil patchen er ude. .

Med andre ord, lige så prisværdigt og spændende som Mozillas to-dages leveringstid for patch kan have været, er Apples meget langsommere reaktion ikke desto mindre acceptabel.

De live-videostreams, du måske har set fra Pwn2Own, tjente til at angive, om hver enkelt konkurrents angreb lykkedes, i stedet for at afsløre nogen information om, hvordan angrebet rent faktisk fungerede. De videoskærme, som konkurrenterne brugte, havde ryggen mod kameraet, så man kunne se konkurrenternes og dommernes ansigter, men ikke hvad de skrev eller kiggede på.

Flertrinsangreb

Som sædvanlig inkluderer de mange fejl, som Apple har rettet i disse opdateringer, sårbarheder, der i teorien kunne kædes sammen af ​​beslutsomme angribere.

En fejl opført med det forbehold, at "en app med root-rettigheder kan muligvis udføre vilkårlig kode med kernerettigheder" lyder ikke særlig bekymrende i starten.

Når alt kommer til alt, hvis en angriber allerede har root-kræfter, har de stort set kontrol over din computer alligevel.

Men når du bemærker en fejl et andet sted i systemet, der er angivet med advarslen om "en app kan muligvis opnå root-privilegier", kan du se, hvordan sidstnævnte sårbarhed kunne være et bekvemt og uautoriseret springbræt til førstnævnte.

Og når du også bemærker en billedgengivelsesfejl beskrevet som "Behandling af en ondsindet fil kan føre til vilkårlig kodekørsel", kan du hurtigt se, at:

• En web-side, der er fanget i snavs, kan indeholde et billede, der lancerer kode, der ikke er tillid til.
• Det kunne den upålidelige kode implantere en app med lavt privilegium.
• Den uønskede app kunne erhverve rodkræfter til sig selv.
• Den nu-root-app kunne injicere sin egen useriøse kode i kernen.

Med andre ord, i det mindste teoretisk, bare at se på en tilsyneladende uskyldig hjemmeside...

… kunne sende dig til at vælte ind i en kaskade af problemer, ligesom det berømte ordsprog, der siger, “I mangel på et søm var skoen tabt; i mangel af en sko var hesten tabt; i mangel af en hest gik beskeden tabt; i mangel af en besked, var slaget tabt ... alt sammen på grund af manglen på en hestesko søm."

Hvad skal jeg gøre?

Derfor anbefaler vi som altid, at du lapper tidligt; plaster ofte; lappe alt.

Apple, til sin kredit, gør patching alt til standard: du kan ikke vælge, hvilke patches du vil implementere, og hvilke du vil lade "til senere".

Den eneste undtagelse fra denne regel, som vi bemærkede ovenfor, er, at for macOS Big Sur og macOS Catalina vil du modtage hovedparten af ​​operativsystemopdateringerne i en gigantisk download, efterfulgt af en separat download-og-opdateringsproces for at installere seneste version af Safari.

Som sædvanligt:

• På din iPhone eller iPad: Indstillinger > Generelt > softwareopdatering
• På din Mac: Apples menu > Om denne Mac > Software opdatering…

---