PRESSERENDE! Apple slipper nul-dages opdatering til ældre iPhones og iPads

Nå, det havde vi ikke forventet!

Vores højt elskede iPhone 6+, nu næsten otte år gammel, men i uberørt, som ny stand indtil en nylig UDI (utilsigtet afstigningshændelse, også kendt som en cykelprang, som smadrede skærmen, men ellers lod enheden fungere fint), har ikke modtaget nogen sikkerhedsopdateringer fra Apple i næsten et år.

Den sidste opdatering vi modtog var tilbage 2021-09-23, da vi opdaterede til iOS 12.5.5.

Hver efterfølgende opdatering til iOS og iPadOS 15 har forståeligt nok forstærket vores antagelse om, at Apple havde droppet iOS 12-understøttelse for evigt, og derfor henviste vi den gamle iPhone til baggrundstjeneste, udelukkende som nødudstyr til kort eller telefonopkald, mens vi var på farten.

(Vi regnede med, at endnu et nedbrud sandsynligvis ikke ville ødelægge skærmen yderligere, så det virkede som et nyttigt kompromis.)

Men det har vi lige bemærket Apple har trods alt besluttet at opdatere iOS 12 igen.

Denne nye opdatering gælder for følgende modeller: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 og iPod touch 6. generation. (Før iOS 13.1 og iPadOS 13.1 kom ud, brugte iPhones og iPads det samme operativsystem, kaldet iOS for begge enheder.)

Vi modtog ikke en sikkerhedsadviserende e-mail fra Apple, men en alarmerende Naked Security-læser, der ved, at vi stadig har den gamle iPhone 6+, har givet os besked om Apple Sikkerhedsbulletin HT213428. (Tak!)

Kort sagt har Apple udgivet en patch til CVE-2022-32893, som er en af to mystiske zero-day bugs der modtog nødpatches på de fleste andre Apple-platforme tidligere i august 2022:

Malware implantation

Som du vil se i artiklen lige ovenfor, var der en WebKit fjernudførelsesfejl, CVE-2022-32893, ved hjælp af hvilken en jailbreaker, en spyware-sælger eller en eller anden lusket cyberkriminel kunne lokke dig til et booby-fanget websted og implanter malware på din enhed, selvom alt du gjorde var at kigge på en ellers uskyldigt udseende side eller et dokument.

Så var der en anden fejl i kernen, CVE-2022-32894, hvorved nævnte malware kunne udvide sine tentakler ud over den app, den lige kompromitterede (såsom en browser eller en dokumentfremviser), og få kontrol over det indre af driften systemet selv, og dermed tillader malwaren at spionere på, ændre eller endda installere andre apps, og omgå Apples meget roste og notorisk strenge sikkerhedskontrol.

Så her er de gode nyheder: iOS 12 er ikke sårbar over for nul-dages CVE-2022-32894 på kerneniveau, hvilket næsten helt sikkert undgår risikoen for total kompromittering af selve operativsystemet.

Men her er de dårlige nyheder: iOS 12 er sårbar over for WebKit-fejlen CVE-2022-32893, så individuelle apps på din telefon helt sikkert risikerer at gå på kompromis.

Vi gætter på, at Apple må være stødt på i det mindste nogle højprofilerede (eller højrisiko- eller begge dele) brugere af ældre telefoner, der blev kompromitteret på denne måde, og besluttede at skubbe beskyttelse ud for alle som en særlig forholdsregel.

Faren ved WebKit

Husk, at WebKit-fejl findes, løst sagt, på softwarelaget under Safari, så Apples egen Safari-browser ikke er den eneste app, der er i fare for denne sårbarhed.

Alle browsere på iOS, selv Firefox, Edge, Chrome og så videre, bruger WebKit (det er et Apple-krav, hvis du vil have din app til at komme ind i App Store).

Og enhver app, der viser webindhold til andre formål end generel browsing, såsom på sine hjælpesider, dens Om skærm, eller endda i en indbygget "minibrowser", er også i fare, fordi den vil bruge WebKit under dynen.

Med andre ord, bare at "undgå Safari" og holde sig til en tredjepartsbrowser er ikke en passende løsning i dette tilfælde.

Hvad skal jeg gøre?

Vi ved nu, at fraværet af en opdatering til iOS 12, da de seneste nødpatches udkom til nyere iPhones, ikke skyldtes det faktum, at iOS allerede var sikkert.

Det skyldtes simpelthen, at en opdatering endnu ikke var tilgængelig.

Så i betragtning af at vi nu ved, at iOS 12 is i fare, og at udnyttelser mod CVE-2022-32893 bliver brugt i det virkelige liv, og at der er en patch tilgængelig...

…så er det et presserende spørgsmål om Patch tidligt/lapper ofte!

Gå til Indstillinger > Generelt > softwareopdatering, og tjek, at du har iOS 12.5.6.

Hvis du endnu ikke har modtaget opdateringen automatisk, skal du trykke på Hent og installer for at begynde processen med det samme:

---