Apple patcht doppelten Zero-Day in Browser und Kernel – jetzt aktualisieren!

Apple hat gerade ein Notfall-Update für zwei Zero-Day-Bugs herausgebracht, die anscheinend vorhanden sind aktiv ausgenutzt.

Es gibt ein sogenanntes Remote Code Execution Hole (RCE). CVE-20220-32893 in Apples HTML-Rendering-Software (WebKit), mit der eine mit Sprengfallen versehene Webseite iPhones, iPads und Macs dazu verleiten kann, nicht autorisierten und nicht vertrauenswürdigen Softwarecode auszuführen.

Einfach ausgedrückt: Ein Cyberkrimineller könnte Malware auf Ihrem Gerät einschleusen, selbst wenn Sie lediglich eine ansonsten harmlose Webseite aufgerufen haben.

Denken Sie daran, dass WebKit der Teil von Apples Browser-Engine ist, der sich unter absolut jeder Web-Rendering-Software auf Apples Mobilgeräten befindet.

Macs können Versionen von Chrome, Chromium, Edge, Firefox und anderen „Nicht-Safari“-Browsern mit alternativen HTML- und JavaScript-Engines ausführen (Chromium verwendet beispielsweise Blinken und V8; Firefox basiert auf Gecko und Nashorn).

Aber auf iOS und iPadOS bestehen die App Store-Regeln von Apple darauf, dass jede Software, die irgendeine Art von Webbrowsing-Funktionalität bietet muss auf WebKit basieren, einschließlich Browsern wie Chrome, Firefox und Edge, die auf anderen Plattformen, auf denen Sie sie möglicherweise verwenden, nicht auf Apples Browsercode angewiesen sind.

Darüber hinaus können alle Mac- und iDevice-Apps mit Popup-Fenstern wie z Hilfe or Über uns Bildschirme verwenden HTML als „Anzeigesprache“ – eine programmgesteuerte Annehmlichkeit, die verständlicherweise bei Entwicklern beliebt ist.

Apps, die dies tun, verwenden mit ziemlicher Sicherheit Apples Webansicht Systemfunktionen und WebView basiert direkt über WebKit, ist also von allen Schwachstellen in WebKit betroffen.

Das CVE-2022-32893 Die Schwachstelle betrifft daher potenziell viel mehr Apps und Systemkomponenten als nur Apples eigenen Safari-Browser, sodass das einfache Ausweichen von Safari nicht als Problemumgehung angesehen werden kann, selbst auf Macs, auf denen Nicht-WebKit-Browser erlaubt sind.

Dann gibt es einen zweiten Zero-Day

Es gibt auch eine Kernel-Code-Ausführungslücke, die synchronisiert wird CVE-2022-32894, wodurch ein Angreifer, der sich durch Ausnutzung des oben genannten WebKit-Bugs bereits einen grundlegenden Stand auf Ihrem Apple-Gerät verschafft hat…

… könnte von der Steuerung nur einer einzigen App auf Ihrem Gerät zur Übernahme des Betriebssystemkerns selbst übergehen und so die Art von „administrativen Superkräften“ erwerben, die normalerweise Apple selbst vorbehalten sind.

Dies bedeutet mit ziemlicher Sicherheit, dass der Angreifer:

• Spionieren Sie alle derzeit laufenden Apps aus
• Laden Sie zusätzliche Apps herunter und starten Sie sie, ohne den App Store zu durchlaufen
• Greifen Sie auf fast alle Daten auf dem Gerät zu
• Systemsicherheitseinstellungen ändern
• Rufen Sie Ihren Standort ab
• Mach Screenshots
• Verwenden Sie die Kameras im Gerät
• Aktivieren Sie das Mikrofon
• Textnachrichten kopieren
• Verfolgen Sie Ihr Surfen…

…und vieles mehr.

Apple hat nicht gesagt, wie diese Fehler gefunden wurden (außer zur Gutschrift „ein anonymer Forscher“), hat nicht gesagt, wo auf der Welt sie ausgebeutet wurden, und hat nicht gesagt, wer sie benutzt oder zu welchem ​​Zweck.

Grob gesagt bietet ein funktionierendes WebKit-RCE, gefolgt von einem funktionierenden Kernel-Exploit, wie hier zu sehen, normalerweise alle erforderlichen Funktionen Mounten Sie einen Geräte-Jailbreak (daher werden fast alle von Apple auferlegten Sicherheitsbeschränkungen absichtlich umgangen) oder zu Hintergrund-Spyware installieren und halten Sie unter umfassender Überwachung.

Was ist zu tun?

Gleich patchen!

Zum Zeitpunkt des Verfassens dieses Artikels hat Apple Advisories für veröffentlicht iPad OS 15 und iOS 15, von denen beide aktualisierte Versionsnummern erhalten 15.6.1Und für macOS Monterey 12, die eine aktualisierte Versionsnummer von erhält 12.5.2.

• Auf Ihrem iPhone oder iPad: Einstellungen > Allgemeines > Software-Update
• Auf deinem Mac: Apple-Menü > Über diesen Mac > Software-Update…

Es gibt auch ein Update, das dauert watchOS zur Version 8.7.1, aber dieses Update listet keine CVE-Nummern auf und hat keine eigene Sicherheitsempfehlung.

Es gibt kein Wort darüber, ob die älteren unterstützten Versionen von macOS (Big Sur und Catalina) betroffen sind, aber noch keine Updates verfügbar sind, oder ob tvOS anfällig ist, aber noch nicht gepatcht wurde.

Weitere Informationen finden Sie in diesem Bereich und auf der Portalseite des offiziellen Apple-Sicherheitsbulletins. HT201222.