اپل بی‌صدا آخرین به‌روزرسانی روز صفر خود را ارائه می‌کند – حالا چه؟

اپل بی‌صدا آخرین به‌روزرسانی روز صفر خود را ارائه می‌کند – حالا چه؟

تمبر زمان: 11 ژوئیه 2023، 11:21 صبح
اپل بی‌صدا آخرین به‌روزرسانی روز صفر خود را ارائه می‌کند – حالا چه؟ هوش داده PlatoBlockchain. جستجوی عمودی Ai.
by پل داکلین

قانون سرفصل های بتریج اصرار دارد که هر عنوانی که به عنوان سوال مطرح شود را می توان بلافاصله با یک "نه" ساده پاسخ داد.

ظاهراً، تئوری پشت این شوخ طبعی (در واقع نه یک قانون است، نه هنوز یک قاعده، و نه در واقع چیزی بیش از یک پیشنهاد) این است که اگر نویسنده می دانست در مورد چه چیزی صحبت می کند، و شواهد واقعی برای حمایت از ادعای خود داشت، آنها تیتر را به عنوان یک واقعیت غیر قابل تفکیک می نوشتند.

خوب، ما در اینجا در امنیت برهنه روزنامه نگار نیستیم، پس خوشبختانه ما به این قانون ملزم نیستیم.

پاسخ بی رحمانه به سوال خودمان در عنوان بالا این است: هیچکس جز اپل نمی داند و اپل هم نمی گوید.

یک پاسخ بهتر اما مسلماً میانه راه این است، "صبر کن و ببین."

پاسخ های سریع

این داستان اواخر دیروز، در اواخر 2023-06-10 به وقت بریتانیا، زمانی که ما با هیجان [منظورت از "هیجان انگیز" است؟ – اد.] مشاوره ای در مورد اپل نوشت دوم پاسخ امنیتی سریع (RSR):

این RSR ها مانند ما هستند قبلاً توضیح داده شده، تلاش اپل برای ارائه اصلاحات اضطراری تک مشکل به همان سرعتی که پروژه منبع باز با مدیریت خوب انجام می دهد، که در آن وصله های روز صفر اغلب در عرض یک یا دو روز پس از پیدا شدن مشکل، با به روز رسانی های به روز رسانی های بعدی منتشر می شوند. اگر بررسی های بیشتر نشان دهد که مشکلات بیشتری باید برطرف شود، به سرعت.

یکی از دلایلی که پروژه‌های منبع باز می‌توانند چنین رویکردی را در پیش بگیرند این است که آنها معمولاً یک صفحه دانلود با کد منبع کامل هر نسخه رسمی منتشر شده ارائه می‌دهند، به طوری که اگر برای اتخاذ آخرین اصلاحات عجله دارید، به جای چند روز یا چند ساعت هفته ها، و آنها کار نمی کنند، هیچ مانعی برای بازگشت به نسخه قبلی وجود ندارد تا زمانی که راه حل برای رفع مشکل آماده شود.

با این حال، مسیر رسمی به‌روزرسانی اپل، حداقل برای دستگاه‌های تلفن همراهش، همیشه ارائه وصله‌های کامل و در سطح سیستم بوده است که هرگز نمی‌توان آن‌ها را بازگرداند، زیرا اپل از این ایده که کاربران عمداً سیستم‌های خود را به‌منظور کاهش درجه‌بندی می‌کنند، خوشش نمی‌آید. از باگ های قدیمی به منظور جیلبریک کردن دستگاه های خود یا نصب سیستم عامل های جایگزین سوء استفاده کنند.

در نتیجه، حتی زمانی که اپل اصلاحات اضطراری یک یا دو باگ را برای حفره‌های روز صفر که قبلاً به طور فعال مورد بهره‌برداری قرار می‌گرفتند، ایجاد کرد، این شرکت باید به چیزی می‌رسید (و شما باید به آن ایمان داشتید) چیزی که اساساً یک مشکل بود. یک طرفه ارتقاء، حتی اگر تنها چیزی که واقعاً نیاز داشتید یک مینمالیستی بود به روز رسانی به یکی از اجزای سیستم برای رفع یک خطر واضح و فعلی.

وارد فرآیند RSR شوید، وصله‌های سریعی را که می‌توانید با عجله نصب کنید، که نیازی به آفلاین کردن تلفنتان به مدت 15 تا 45 دقیقه با راه‌اندازی مجدد مکرر ندارند و بعداً می‌توانید آن‌ها را حذف کنید (و دوباره نصب، و حذف و به همین ترتیب) اگر تصمیم گرفتید که درمان بدتر از بیماری بود.

باگ‌هایی که به‌طور موقت از طریق RSR وصله می‌شوند، در نسخه کامل بعدی به‌روزرسانی برای همیشه برطرف می‌شوند…

... به طوری که RSR ها نیازی به شماره نسخه جدید خود نداشته باشند یا دریافت کنند.

درعوض، آنها یک حرف توالی ضمیمه دریافت می کنند، به طوری که اولین پاسخ امنیتی سریع برای iOS 16.5.1 (که دیروز منتشر شد) در نمایش داده می شود. تنظیمات > سوالات عمومی > درباره ما as 16.5.1 ().

(ما نمی دانیم اگر این سکانس از بین برود چه اتفاقی می افتد (z)، اما ما حاضریم برای پاسخ شرط بندی کوچکی بپذیریم (aa)، یا شاید (za) اگر مرتب سازی الفبایی مهم در نظر گرفته شود.)

امروز اینجا، فردا رفت

به هر حال، تنها چند ساعت پس از توصیه به همه برای دریافت iOS و iPadOS 16.5.1 (a)، زیرا یک سوء استفاده روز صفر را در کد WebKit اپل برطرف می کند و بنابراین تقریباً مطمئناً می تواند برای بدافزارهای بد افزاری مانند جاسوسی یا گرفتن جاسوس افزار مورد سوء استفاده قرار گیرد. داده های خصوصی از گوشی شما…

... نظر دهندگان (با تشکر ویژه از جان مایکل لسلی، که + نوشته شده در در صفحه فیس بوک ما) شروع به گزارش کرد که به روز رسانی دیگر هنگام استفاده نشان داده نمی شود تنظیمات > سوالات عمومی > به روز رسانی نرم افزار سعی کنند دستگاه های خود را به روز کنند.

خود اپل است پورتال امنیتی هنوز [2023-07-11T15:00:00Z] جدیدترین آپدیت ها را فهرست می کند macOS 13.4.1 (a) و iOS/iPadOS 16.5.1 (a)، به تاریخ 2023-07-10، بدون هیچ یادداشتی در مورد اینکه آیا آنها رسماً تعلیق شده اند یا خیر.

اما گزارش از طریق سایت MacRumors نشان می دهد که به روز رسانی ها در حال حاضر لغو شده اند.

یکی از دلایل پیشنهادی این است که مرورگر سافاری اپل اکنون خود را در درخواست های وب با یک رشته User-Agent که شامل ضمیمه است شناسایی می کند. (a) در شماره نسخه خود

وقتی مرورگر Safari به روز شده خود را در iOS به سوکت TCP گوش می دهیم (قالب بندی شده با خطوط شکسته برای بهبود خوانایی) مشاهده کردیم:

$ ncat -vv -l 9999 Ncat: نسخه 7.94 ( https://nmap.org/ncat ) Ncat: Listening در :::9999 Ncat: Listening در 0.0.0.0:9999 Ncat: اتصال از 10.42.42.1. Ncat: اتصال از 10.42.42.1:13337. دریافت / HTTP/1.1 میزبان: 10.42.42.42:9999 درخواست‌های ارتقا-ناامن: 1 پذیرش: text/html,application/xhtml+xml, application/xml;q=0.9,*/*;q=0.8 عامل کاربر: Mozilla/5.0 (iPhone؛ CPU iPhone OS 16_5_1 مانند Mac OS X) AppleWebKit/605.1.15 (KHTML، مانند Gecko) نسخه/16.5.2 (a) Mobile/15E148 Safari/604.1 Accept-Language: en-GB,en; q=0.9 Accept-Encoding: gzip، deflate اتصال: keep-alive NCAT DEBUG: بستن fd 5.

به گفته برخی از مفسران MacRumors، این Version/ رشته ای که مانند آن از اعداد و نقاط معمولی به همراه متنی عجیب و غریب و غیرمنتظره در کروشه های گرد تشکیل شده است، برخی وب سایت ها را گیج می کند.

(از قضا، سایت‌هایی که در این بازی ظاهراً نسخه-رشته-تقسیم اشتباه-سرزنش-بازی سرزنش شده‌اند، به نظر می‌رسد همه سرویس‌هایی هستند که معمولاً توسط برنامه‌های اختصاصی بیشتر از مرورگر قابل دسترسی هستند، اما به نظر می‌رسد این تئوری این است که ظاهراً آنها در آن خفه شو 16.5.2 (a) اگر تصمیم دارید با نسخه به روز شده سافاری از آنها بازدید کنید، شناسه نسخه.)

چه کاری انجام دهید؟

به طور دقیق، فقط اپل می داند اینجا چه خبر است و نمی گوید. (حداقل، نه به طور رسمی از طریق پورتال امنیتی آن (HT201222) یا آن درباره پاسخ های امنیتی سریع صفحه (HT201224.)

پیشنهاد می‌کنیم، اگر قبلاً این به‌روزرسانی را دارید، آن را حذف نکنید، مگر اینکه واقعاً با توانایی شما در استفاده از تلفنتان با وب‌سایت‌ها یا برنامه‌هایی که برای کار نیاز دارید تداخل داشته باشد، یا مگر اینکه بخش فناوری اطلاعات خودتان صریحاً به شما بگوید که عقب نشینی کنید. به طعم «غیر (a)» macOS، iOS یا iPadOS.

به هر حال، این به‌روزرسانی برای پاسخ‌دهی سریع مناسب تلقی می‌شود، زیرا اکسپلویتی که رفع می‌کند، یک حفره اجرای کد از راه دور مبتنی بر مرورگر (RCE) است.

اگر نیاز دارید یا می خواهید RSR را حذف کنید، می توانید این کار را انجام دهید:

  • اگر آیفون یا آیپد دارید. رفتن به تنظیمات > سوالات عمومی > درباره ما > نسخه iOS/iPadOS و انتخاب کنید پاسخ امنیتی را حذف کنید.
  • اگر مک دارید. رفتن به تنظیمات سیستم > سوالات عمومی > درباره ما و کلیک کنید (i) نماد در انتهای مورد با عنوان macOS در راه است.

توجه داشته باشید که ما RSR را بلافاصله روی macOS Ventura 13.4.1 و iOS 16.5.1 نصب کردیم و هیچ مشکلی برای مرور در محل های معمول وب خود از طریق Safari یا Edge نداشتیم. (به یاد داشته باشید که همه مرورگرها از WebKit در دستگاه های تلفن همراه اپل استفاده می کنند!)

بنابراین ما قصد حذف به‌روزرسانی را نداریم، و مایل نیستیم این کار را به صورت آزمایشی انجام دهیم، زیرا نمی‌دانیم که آیا می‌توانیم آن را دوباره نصب کنیم یا نه.

نظر دهندگان پیشنهاد کرده‌اند که وقتی از یک دستگاه وصله‌نشده امتحان می‌کنند، این وصله به سادگی گزارش نمی‌شود، اما ما سعی نکرده‌ایم دستگاهی که قبلاً وصله‌شده را دوباره وصله کنیم تا ببینیم آیا این وصله به شما یک بلیط جادویی برای دریافت دوباره به‌روزرسانی می‌دهد یا خیر.

به زبان ساده:

  • اگر قبلا macOS 13.4.1 (a) یا iOS/iPadOS 16.5.1 (a) را دانلود کرده اید، به‌روزرسانی را حفظ کنید، مگر اینکه کاملاً مجبور باشید از شر آن خلاص شوید، زیرا شما را در برابر سوراخ روز صفر ایمن می‌کند.
  • اگر آن را نصب کرده اید و واقعا نیاز دارید یا می خواهید آن را حذف کنید، دستورالعمل‌های ما را در بالا ببینید، اما فرض کنید بعداً نمی‌توانید آن را دوباره نصب کنید، و بنابراین خود را در دسته سوم زیر قرار می‌دهید.
  • اگر هنوز آن را نگرفته‌اید، این فضا را تماشا کنید. ما حدس می زنیم که (a) پچ به سرعت با a جایگزین می شود (b) وصله، زیرا کل ایده این "به روز رسانی حروف" این است که آنها باید پاسخ های سریع باشند. اما فقط اپل با اطمینان می داند.

توصیه‌های همیشگی دیروز خود را با گفتن این جمله اصلاح می‌کنیم: تاخیر نکنید؛ به محض اینکه اپل و دستگاه شما به شما اجازه دادند این کار را انجام دهید.

تمبر زمان:

بیشتر از امنیت برهنه