Apple julkaisee hiljaa toisen korjaustiedoston Zero-Day RCE -virheelle

Apple on hiljaa julkaissut lisää päivityksiä iOS:ään korjatakseen aktiivisesti hyväksikäytetyn nollapäivän tietoturvahaavoittuvuuden, jonka se korjasi aiemmin tässä kuussa uudemmissa laitteissa. WebKitissä oleva haavoittuvuus voi antaa hyökkääjille mahdollisuuden luoda haitallista Web-sisältöä, joka mahdollistaa koodin etäsuorittamisen (RCE) käyttäjän laitteessa.

Päivitys julkaistu keskiviikkona, iOS 12.5.6, koskee seuraavia malleja: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 ja iPod touch 6. sukupolvi.

Kyseinen virhe (CVE-2022-32893Apple kuvailee WebKitin rajojen ulkopuoliseksi kirjoitusongelmaksi. Se käsiteltiin korjaustiedostossa parannetulla rajojen tarkistuksella. Apple myönsi, että vikaa hyödynnetään aktiivisesti, ja se kehottaa laitteiden käyttäjiä päivittämään välittömästi.

Apple oli jo korjannut haavoittuvuuden joillekin laitteille - sekä CVE-2022-32894-koodilla jäljitetyn ydinvirheen ohella. aiemmin elokuussa iOS 15.6.1:ssä. Se on päivitys joka kattoi iPhone 6S:n ja uudemmat, iPad Pron (kaikki mallit), iPad Air 2:n ja uudemmat, iPadin 5. sukupolven ja uudemmat, iPad mini 4:n ja uudemmat sekä iPod touchin (7. sukupolvi).

Viimeisin korjauskierros näyttää siltä, ​​että Apple peittää kaikki perusteensa lisäämällä suojauksen iPhoneille, joissa on vanhempia iOS-versioita, totesi turvallisuusevankelista Paul Ducklin.

"Arvelemme, että Apple on täytynyt törmätä ainakin joihinkin vanhempien puhelimien korkean profiilin (tai korkean riskin tai molempien) käyttäjiin, jotka joutuivat tällä tavalla vaarantumaan, ja päätti poistaa kaikkien suojan erityisenä varotoimenpiteenä. " hän kirjoitti viestissä Sophos Naked Security -blogissa.

Ducklin selitti, että Applen kaksinkertainen kattavuus korjatakseen virheen molemmissa iOS-versioissa johtuu muutoksesta, missä alustan versiot toimivat missäkin iPhoneissa.

Ennen kuin Apple julkaisi iOS 13.1:n ja iPadOS 13.1:n, iPhonet ja iPadit käyttivät molemmissa laitteissa samaa käyttöjärjestelmää, jota kutsutaan iOS:ksi, hän sanoi. Nyt iOS 12.x kattaa iPhone 6:n ja aiemmat laitteet, kun taas iOS 13.1 ja uudemmat versiot toimivat iPhone 6s:ssa ja sen jälkeen julkaistuissa laitteissa.

Toinen nollapäivän virhe, jonka Apple korjasi aiemmin tässä kuussa, CVE-2022-32894, oli ytimen haavoittuvuus, joka voi mahdollistaa koko laitteen haltuunoton. Mutta vaikka tämä virhe vaikutti iOS 13:een – ja sai siten korjaustiedoston siihen aikaisemmassa päivityksessä – se ei vaikuta iOS 12:een, Ducklin huomautti, että "mikä lähes varmasti välttää itse käyttöjärjestelmän täydellisen kompromissin" vanhemmissa versioissa. laitteet.

WebKit: Leveä kyberhyökkäyspinta

WebKit on selainmoottori, joka käyttää Safaria ja kaikkia muita iOS:ssä toimivia kolmannen osapuolen selaimia. Hyödyntämällä CVE-2022-32893, uhkatoimija voi rakentaa haitallista sisältöä verkkosivustolle. Sitten, jos joku vierailee sivustolla vaikutuksen alaisena olevasta iPhonesta, näyttelijä voi suorittaa haittaohjelmia etänä laitteellaan.

WebKit yleensä on ollut jatkuva piikki Applen kyljessä, kun on kyse käyttäjien altistamisesta haavoittuvuuksille, koska se leviää iPhonen ja muiden Apple-laitteiden ulkopuolelle muihin sitä käyttäviin selaimiin – mukaan lukien Firefox, Edge ja Chrome – ja saattaa miljoonia käyttäjiä vaaraan tietty bugi.

"Muista, että WebKit-virheitä esiintyy löyhästi Safarin alla olevassa ohjelmistokerroksessa, joten Applen oma Safari-selain ei ole ainoa sovellus, jota tämä haavoittuvuus vaarantaa", Ducklin huomautti.

Lisäksi kaikki sovellukset, jotka näyttävät verkkosisältöä iOS:ssä muihin tarkoituksiin kuin yleiseen selailuun – kuten ohjesivuillaan, sen "Noin" näytössä tai jopa sisäänrakennetussa "miniselaimessa" - käyttää WebKitiä konepellin alla, hän lisäsi.

"Toisin sanoen pelkkä Safarin välttäminen ja kolmannen osapuolen selaimen käyttäminen ei ole sopiva ratkaisu [WebKit-virheille]", Ducklin kirjoitti.

Apple hyökkäyksen alla

Vaikka käyttäjät ja ammattilaiset ovat perinteisesti pitäneet Applen Mac- ja iOS-alustoja turvallisempana kuin Microsoft Windows - ja tämä on yleensä ollut totta useista syistä - vuorovesi alkaa kääntyä, asiantuntijat sanovat.

Itse asiassa nouseva uhkakuva, joka osoittaa enemmän kiinnostusta kohdistaa kaikkialla läsnä oleviin verkkoteknologioihin, ei itse käyttöjärjestelmään on laajentanut tavoitetta Applen selässä, mukaan uhkaraportti julkaistiin tammikuussa, ja yhtiön puolustava korjausstrategia heijastelee tätä.

Apple on korjannut ainakin neljä nollapäivän virhettä tänä vuonna, ja kaksi korjausta aiemmille iOS- ja macOS-haavoittuvuuksille on tulossa. tammikuu ja yksi sisään helmikuu — joista jälkimmäinen korjasi toisen aktiivisesti hyödynnetyn ongelman WebKitissä.

Lisäksi viime vuonna 12 57 nollapäivän uhista, että tutkijat Googlen Project Zero seurataan liittyivät Appleen (eli yli 20 %), ja ongelmat vaikuttivat macOS:ään, iOS:ään, iPadOS:ään ja WebKitiin.