Apple megaupdate: Ventura ud, iOS og iPad kernel zero-day – handle nu!

Apples seneste samling af sikkerhedsopdateringer er ankommet, inklusive de netop lancerede macOS 13 eventyr, som var ledsaget af sin egen sikkerhedsbulletin liste over hele 112 CVE-nummererede sikkerhedshuller.

Af dem talte vi 27 vilkårlige kodeudførelseshuller, hvoraf 12 tillader slyngelkode at blive injiceret lige ind i selve kernen, og en tillader upålidelig kode at blive kørt med systemprivilegier.

Oven i det er der to elevation-of-privilege-fejl (EoP) listet for Ventura, som vi antager kan bruges sammen med nogle, mange eller alle de resterende 14 ikke-systemkodeudførelsesfejl til at danne en angrebskæde, der forvandler en kodeeksekvering på brugerniveau til en systemniveau.

iPhone og iPad i virkelighedens risiko

Det er dog ikke den mest kritiske del af denne historie.

Prisen "klar og nærværende fare" går til iOS , iPad, Hvilket blive opdateret til version 16.1 , 16 henholdsvis, hvor en af ​​de anførte sikkerhedssårbarheder tillader kørsel af kernekode fra enhver app og allerede aktivt udnyttes.

Kort sagt, iPhones og iPads skal repareres med det samme på grund af en kerne nul-dag.

Apple har ikke sagt, hvilken cyberkriminalitetsgruppe eller spywarevirksomhed, der misbruger denne fejl, kaldet CVE-2022-42827, men i betragtning af den høje pris, som fungerende iPhone zero-days befaler i cyberunderverdenen, antager vi, at den, der er i besiddelse af denne udnyttelse, [a] ved, hvordan man får den til at fungere effektivt, og [b] er usandsynligt, at han selv vil gøre opmærksom på den , for at holde eksisterende ofre i mørket så meget som muligt.

Apple har fremført sin sædvanlige kedelbemærkning om, at virksomheden "er bekendt med en rapport om, at dette problem kan være blevet aktivt udnyttet", og det er alt.

Som følge heraf kan vi ikke tilbyde dig nogen råd om, hvordan du tjekker for tegn på angreb på din egen enhed – vi er ikke bekendt med nogen såkaldte IoC'er (indikatorer for kompromis), såsom mærkelige filer i din sikkerhedskopi, uventede konfigurationsændringer eller usædvanlige logfilposter, som du muligvis kan søge efter.

Vores eneste anbefaling er derfor vores sædvanlige opfordring til at lappe tidligt/lappe ofte, ved at gå til Indstillinger > Generelt > softwareopdatering og vælge Hent og installer hvis du ikke allerede har modtaget rettelserne.

Hvorfor vente på, at din enhed finder og foreslår selve opdateringerne, når du kan hoppe til toppen af ​​køen og hente dem med det samme?

Catalina faldt?

Som du måske har antaget, da udgivelsen af ​​Ventura tager macOS til version 13, vises macOS 10 Catalina for tre versioner siden ikke på listen denne gang.

Apple leverer typisk kun sikkerhedsopdateringer til de tidligere og tidligere versioner af macOS, og det er sådan, patches udspillede sig her, med patches at tage macOS 11 Big Sur til version 11.7.1og macOS 12 Monterey til version 12.6.1.

Disse versioner får dog også en separat opdatering opført som Safari 16.1, som retter flere farlige fejl i Safari og dets underliggende softwarebibliotek WebKit.

Husk, at WebKit ikke kun bruges af Safari, men også af alle andre apps, der er afhængige af Apples underliggende kode til at vise enhver form for HTML-baseret indhold, herunder hjælpesystemer, Om-skærme og indbyggede "minibrowsere", der almindeligvis ses i meddelelser apps, der giver mulighed for at se HTML-filer, sider eller meddelelser.

Apple WATCH , tvOS får også adskillige rettelser, og deres versionsnumre opdateres til Watch 9.1 , tvOS 16.1 henholdsvis.

Hvad skal jeg gøre?

Den gode nyhed er, at kun early adopters og softwareudviklere sandsynligvis allerede kører Ventura som en del af Apples Beta-økosystem.

Disse brugere bør opdatere så hurtigt som muligt uden at vente på en systempåmindelse eller på, at automatisk opdatering starter, givet det enorme antal fejl, der er rettet.

Hvis du ikke er på Ventura, men har til hensigt at opgradere med det samme, vil din første oplevelse af den nye version automatisk inkludere de ovenfor nævnte 112 CVE-patches, så versionen opgradering vil automatisk inkludere den nødvendige sikkerhed opdateringer.

Hvis du planlægger at holde fast i den tidligere eller tidligere macOS-version i et stykke tid endnu (eller hvis du ligesom os har en ældre Mac, der ikke kan opgraderes), så glem ikke, at du har brug for to opdateringer: den ene er specifik for Big Sur eller Monterey, og den anden en opdatering til Safari, der er den samme for begge operativsystemer.

At opsummere:

• På iOS eller iPad OS, brug hurtigst muligt Indstillinger > Generelt > softwareopdatering
• På macOS, brug Apples menu > Om denne Mac > Software opdatering…
• macOS 13 Ventura Beta brugere bør straks opdatere til den fulde udgivelse.
• Big Sur og Monterey brugere som opgraderer til Ventura får macOS 13-sikkerhedsrettelserne på samme tid.
• macOS 11 Big Sur går til 11.7.1, og behov Safari 16.1 også.
• macOS 12 Monterey går til 12.6.1, og behov Safari 16.1 også.
• WATCH går til 9.1.
• tvOS går til 16.1.

Bemærk, at macOS 10 Catalina ikke får nogen opdateringer, men vi antager, at det er fordi det er vejens ende for Catalina-brugere, ikke fordi det stadig er understøttet, men var immunt over for nogen af ​​de fejl, der blev fundet i senere versioner.

Hvis vi har ret, sidder Catalina-brugere, der ikke kan opgradere deres Mac'er, fast med at køre stadig mere forældet Apple-software for evigt eller skifte til et alternativt operativsystem såsom en Linux-distro, der stadig understøttes på deres enhed.

Hurtige links til Apples sikkerhedsbulletiner:

• APPLE-SA-2022-10-24-1: HT213489 til iOS 16.1 og iPadOS 16
• APPLE-SA-2022-10-24-2: HT213488 til macOS Ventura 13
• APPLE-SA-2022-10-24-3: HT213494 til macOS Monterey 12.6.1
• APPLE-SA-2022-10-24-4: HT213493 til macOS Big Sur 11.7.1
• APPLE-SA-2022-10-24-5: HT213491 til watchOS 9.1
• APPLE-SA-2022-10-24-6: HT213492 til tvOS 16.1
• APPLE-SA-2022-10-24-7: HT213495 til Safari 16.1

---