DRINGEND! Apple veröffentlicht ein Zero-Day-Update für ältere iPhones und iPads

Nun, damit haben wir nicht gerechnet!

Unser vielgeliebtes iPhone 6+, jetzt fast acht Jahre alt, aber in makellosem, neuwertigem Zustand bis zu einem kürzlichen UDI (unbeabsichtigter Zwischenfall beim Absteigen, auch bekannt als Fahrrad-Prang, der den Bildschirm zerschmetterte, das Gerät aber ansonsten einwandfrei funktionierte), hat seit fast einem Jahr keine Sicherheitsupdates mehr von Apple erhalten.

Das letzte Update, das wir erhalten haben, war zurück am 2021-09-23, als wir auf iOS 12.5.5 aktualisiert haben.

Jedes folgende Update für iOS und iPadOS 15 hat verständlicherweise unsere Annahme bestärkt, dass Apple den Support für iOS 12 für immer eingestellt hat, und so haben wir das alte iPhone in den Hintergrund gestellt, nur als Notfallgerät für Karten oder Telefonate unterwegs.

(Wir dachten, dass ein weiterer Absturz den Bildschirm wahrscheinlich nicht weiter beschädigen würde, also schien es ein nützlicher Kompromiss zu sein.)

Aber das ist uns gerade aufgefallen Apple hat sich entschieden, iOS 12 doch noch einmal zu aktualisieren.

Dieses neue Update gilt für die folgenden Modelle: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 und iPod touch der 6. Generation. (Bevor iOS 13.1 und iPadOS 13.1 herauskamen, verwendeten iPhones und iPads dasselbe Betriebssystem, das für beide Geräte als iOS bezeichnet wurde.)

Wir haben keine E-Mail mit Sicherheitshinweisen von Apple erhalten, aber ein aufmerksamer Naked Security-Leser, der weiß, dass wir immer noch dieses alte iPhone 6+ haben, hat uns darüber informiert Apple-Sicherheitsbulletin HT213428. (Vielen Dank!)

Einfach gesagt, Apple hat einen Patch für veröffentlicht CVE-2022-32893, Die eine der ist zwei mysteriöse Zero-Day-Bugs die Anfang August 2022 Notfall-Patches auf den meisten anderen Apple-Plattformen erhalten haben:

Malware-Implantation

Wie Sie im obigen Artikel sehen werden, gab es einen WebKit-Remote-Code-Execution-Bug, CVE-2022-32893, mit dem ein Jailbreaker, ein Spyware-Händler oder ein hinterhältiger Cyberkrimineller Sie auf eine mit Sprengfallen versehene Website locken und Malware auf Ihrem Gerät einschleusen, selbst wenn Sie nur einen Blick auf eine ansonsten harmlos aussehende Seite oder ein Dokument geworfen haben.

Dann gab es einen zweiten Fehler im Kernel, CVE-2022-32894, durch den besagte Malware ihre Tentakel über die gerade kompromittierte App (z. B. einen Browser oder einen Dokumentbetrachter) hinaus ausdehnen und die Kontrolle über das Innere des Betriebssystems erlangen konnte System selbst, wodurch die Malware andere Apps ausspionieren, modifizieren oder sogar installieren kann, wodurch die viel gepriesenen und notorisch strengen Sicherheitskontrollen von Apple umgangen werden.

Hier also die gute Nachricht: iOS 12 ist nicht anfällig für Zero-Day-CVE-2022-32894 auf Kernel-Ebene, wodurch das Risiko einer vollständigen Kompromittierung des Betriebssystems selbst mit ziemlicher Sicherheit vermieden wird.

Aber hier die schlechte Nachricht: iOS 12 ist anfällig für den WebKit-Fehler CVE-2022-32893, sodass einzelne Apps auf Ihrem Telefon definitiv gefährdet sind.

Wir vermuten, dass Apple auf mindestens einige hochkarätige (oder risikoreiche oder beides) Benutzer älterer Telefone gestoßen sein muss, die auf diese Weise kompromittiert wurden, und sich entschieden hat, den Schutz für alle als besondere Vorsichtsmaßnahme zu verschieben.

Die Gefahr von WebKit

Denken Sie daran, dass WebKit-Bugs, grob gesagt, auf der Softwareebene unterhalb von Safari existieren, sodass Apples eigener Safari-Browser nicht die einzige Anwendung ist, die von dieser Schwachstelle bedroht ist.

Alle Browser unter iOS, sogar Firefox, Edge, Chrome usw., verwenden WebKit (das ist eine Apple-Anforderung, wenn Sie möchten, dass Ihre App in den App Store kommt).

Und jede App, die Webinhalte für andere Zwecke als das allgemeine Surfen anzeigt, wie z. B. auf ihren Hilfeseiten, ist ihre Über uns Bildschirm oder sogar in einem eingebauten „Minibrowser“ ist ebenfalls gefährdet, da es WebKit unter der Decke verwendet.

Mit anderen Worten, nur „Safari zu vermeiden“ und sich an einen Browser eines Drittanbieters zu halten, ist in diesem Fall keine geeignete Problemumgehung.

Was ist zu tun?

Wir wissen jetzt, dass das Fehlen eines Updates für iOS 12, als die neuesten Notfall-Patches für neuere iPhones herauskamen, nicht darauf zurückzuführen war, dass iOS bereits sicher war.

Es lag einfach daran, dass noch kein Update verfügbar war.

Da wir jetzt wissen, dass iOS 12 is gefährdet sind und dass Exploits gegen CVE-2022-32893 im wirklichen Leben verwendet werden und dass ein Patch verfügbar ist …

…dann ist es dringend angesagt Patch früh/Patch oft!

Gehen Sie zu Einstellungen > Allgemeines > Software-Update, und überprüfen Sie, ob Sie haben iOS 12.5.6.

Wenn Sie das Update noch nicht automatisch erhalten haben, tippen Sie auf Lade und installiere um den Prozess sofort zu starten:

---