Opdateringer til Apples nul-dages opdateringshistorie – iPhone- og iPad-brugere læser dette!

Regelmæssige læsere vil vide to ting om vores holdning til Apples sikkerhedsrettelser:

• Vi kan godt lide at få dem så hurtigt vi kan. Uanset om det er en fuld versionsopgradering, der også inkluderer en masse sikkerhedsrettelser, eller en punktudgivelse (en hvor versionsnummeret længst til venstre ikke ændres) med det primære formål at rette fejl frem for at tilføje nye funktioner, vil vi hellere tage fejl af siden med at anvende kendte sikkerhedsrettelser end at efterlade vores enheder med huller, som angribere nu er opmærksomme på, selvom de ikke ved, hvordan de skal udnytte dem endnu.
• Ikke desto mindre finder vi meget ofte Apples bulletiner forvirrende. For eksempel ved man aldrig helt, hvor man står, hvis man sidder fast på en version, der ikke fik en opdatering denne gang.

Apples seneste sikkerhedsbulletiner, som udkom tidligere i denne uge, synes at eksemplificere, hvordan virksomheden nogle gange synes at øge forvirringen ved at sige for lidt... hvilket ikke altid er et lykkeligt alternativ til at finde ud af for meget:

Opstået forvirring

Baseret på de forespørgsler og kommentarer, vi har modtaget fra læsere i de sidste par dage, opstod følgende forvirring:

• Hvorfor beskrev en enkelt sikkerhedsbulletin opdateringer kaldet iOS 16.1 og iPadOS 16? Vi ved, at iPadOS 16 var forsinket, så betød denne seneste opdatering, at iPadOS nu kun blev patchet til samme sikkerhedsniveau som iOS 16, der udkom for mere end en måned siden, mens iOS avancerede til 16.1 og dermed efterlod iPadOS mere end fem uger på drift med hensyn til cybersikkerhed?
• Hvorfor rapporterede iPadOS 16 i sidste ende sig selv som version 16.1? (Tak til Stefaan fra Belgien for at tage skærmbilleder af hans iPad-opdateringsproces og sende dem ind.) Efter opdateringen, About skærmen siger tilsyneladende iPadOS 16, ligesom sikkerhedsbulletinen gjorde, mens iPadOS Version skærmen siger eksplicit 16.1. Det lyder som om iPhones og iPads nu ikke kun begge understøtter "versionsfamilien kendt som 16", men også begge har de allernyeste sikkerhedsrettelser, så hvorfor ikke blot kalde dem begge version 16.1 overalt for klarhedens skyld, herunder i sikkerhedsbulletinen og på About skærm?
• Hvor blev macOS 10 Catalina af? Traditionelt dropper Apple understøttelsen af ​​macOS version X-3, når version X udkommer, men er, at den egentlige forklaring på, hvorfor macOS 11 Big Sur og macOS 12 Monterey (hhv. version X-2 og X-1) fik opdateringer, mens Catalina ikke t?
• Hvad skete der med iOS/iPadOS 15.7.1? Når iOS 16 kom ud i september 2022 modtog den tidligere versionsfamilie også kritiske opdateringer, hvilket tog den til version 15.7. Dette indeholdt en kritisk løsning til at lukke en nul-dages hul på kerneniveau under aktiv udnyttelse, hvilket ofte oversættes som "nogen derude sniger spyware ind på iPhones, folkens". Så givet at iOS 16.1 inkluderet endnu en kernel zero-day fix, måske lukker en vej, der bliver udnyttet af endnu mere spyware, hvor var den tilsvarende patch til iOS/iPadOS 15-familien, som du analogt ville antage ville være 15.7.1?

Som vi sagde i gårsdagens podcast, stillet over for det fjerde spørgsmål ovenfor fra en bekymret læser, var vores korte svar ganske enkelt: "AND: Ved det ikke./DOUG: Klar som mudder."

Nogle gange gælder sikkerhedsfejl i operativsystemversion X simpelthen ikke for version X-1, for eksempel fordi fejlene findes i kode, der kun blev tilføjet, eller kun udsat for fare, i nyere udgivelser.

Men vi har også set Apple undlade at producere opdateringer til tidligere versioner af to andre årsager, enten [a] fordi en opdatering virkelig er nødvendig, men viste sig at være for vanskelig at blive klar og teste i tide, eller [b] fordi den tidligere version blev nu betragtet som ude af support og ville ikke få en opdatering, uanset om det var nødvendigt eller ej.

Og med Apples sikkerhedsbulletiner, der næsten altid kun fortæller dig om patches, der er tilgængelige lige nu, forbliver manglende opdateringer regelmæssigt et uforklarligt (og uforklarligt) mysterium.

Et brag af bulletiner

Nå, i morges modtog vi et brag af 15 sikkerhedsbulletin-e-mails fra Apple , de fleste af dem listede mange af de CVE-nummererede fejl og sikkerhedsproblemer rapporteret i de bulletiner, vi allerede havde set tidligere på ugen.

Ingen af ​​dem afklarede direkte de tre første spørgsmål ovenfor, selvom vi nu antager, at årsagen til, at Apple henviste til "iPadOS 16" såvel som til "iPadOS 16.1" var et muligvis misforstået forsøg på at formidle informationen om, at iPadOS nu blev forsinket. opgradering til version familie 16, samt at få en opdatering svarende til sikkerhedsrettelser til den nye iOS 16.1.

Men den allerførste bulletin i den seneste salve fra Apple løste det sidste spørgsmål anført ovenfor ved at annoncere iOS/iPadOS 15.7.1, som viser sig at være en kritisk rettelse:

APPLE-SA-2022-10-27-1: iOS 15.7.1 og iPadOS 15.7.1 iOS 15.7.1 og iPadOS 15.7.1 løser følgende problemer. Oplysninger om sikkerhedsindholdet er også tilgængelig på https://support.apple.com/HT213490. [. . .] Kernel Tilgængelig til: iPhone 6s og nyere, iPad Pro (alle modeller), iPad Air 2 og nyere, iPad 5. generation og nyere, iPad mini 4 og nyere, og iPod touch (7. generation) Indvirkning: En applikation kan muligvis at udføre vilkårlig kode med kernerettigheder. Apple er bekendt med en rapport om, at dette problem kan være blevet aktivt udnyttet. Beskrivelse: Et skriveproblem uden for grænserne blev løst med forbedret grænsekontrol. CVE-2022-42827: en anonym forsker

Så iOS/iPadOS 15 er stadig understøttet, og hvis du ikke har bidt dig fast og opgraderet til iOS 16.1 (eller til det skismatisk navngivne iPadOS 16-det-er-også-16.1) tidligere på ugen...

...så skal du sørge for få iOS/iPadOS 15.7.1 med det samme, fordi CVE-2022-42827-kernen zero-day-hullet fikset i iOS 16.1 er lige der i iOS/iPadOS 15.7, under aktiv udnyttelse.

Med andre ord var dette et af de tilfælde, hvor årsagen til den manglende opdatering for et par dage siden næsten helt sikkert var, at patcherne ikke var klar i tide.

Hvad skal jeg gøre?

TL;DR, hvis du er iPhone- eller iPad-bruger: hvis du stadig bruger iOS/iPadOS større version 15, skal du gå til Indstillinger > Generelt > Sikkerhedsopdatering med det samme.

Tjek selv om du har slået automatiske opdateringer til, og husk ikke kun at godkende download, hvis du ikke allerede har det, men også at tvinge din enhed igennem installationsstadiet, som kræver en eller flere genstarter (og gør, selvfølgelig, tag din telefon eller tablet offline i et stykke tid).

TL;DR hvis du er Apple: lidt mere klarhed ville gå langt i sikkerhedsbulletiner, især når du enten ved, at en kritisk opdatering er vingerne for brugere af tidligere versioner, eller at de ikke har brug for en opdatering, fordi deres version ikke er påvirket.

Forresten, hvis du besluttede at springe videre til iOS/iPadOS 16.1 tidligere på ugen, bare for en sikkerheds skyld...

…du kan nu ikke gå tilbage til iOS/iPadOS 15.7.1, fordi Apple ikke tillader nedgraderinger.

(Nedgraderinger letter jailbreaking, som Apple sigter mod at forhindre, og vil under alle omstændigheder kræve en fuldstændig datasletning først for at forhindre, at en nedgradering bliver brugt som en ondsindet "bring your own bug"-sikkerhedsomgåelse for at udslette personlige oplysninger.)

---