Az Apple duplán javítja a nulladik napot a böngészőben és a kernelben – frissítsen most!

Az Apple most kiadott egy sürgősségi frissítést két nulladik napi hiba miatt, amelyek nyilvánvalóan nem aktívan kihasználják.

Van egy távoli kódvégrehajtási lyuk (RCE). CVE-20220 32893- az Apple HTML renderelő szoftverében (WebKit), amelynek segítségével egy csapdába esett weboldal iPhone-t, iPadet és Mac-et csalhat meg jogosulatlan és nem megbízható szoftverkód futtatására.

Egyszerűen fogalmazva, egy kiberbűnözők akkor is beültethetnek rosszindulatú programokat a készülékébe, ha Ön csak egy egyébként ártatlan weboldalt nézett meg.

Ne feledje, hogy a WebKit az Apple böngészőmotorjának az a része, amely az Apple mobileszközein az összes webes megjelenítési szoftver alatt található.

A Mac számítógépeken a Chrome, a Chromium, az Edge, a Firefox és más „nem Safari” böngészők verziói futhatnak alternatív HTML- és JavaScript-motorokkal (a Chromium például Pislog és a V8; A Firefox alapja Gekkó és a Rhino).

iOS és iPadOS rendszeren azonban az Apple App Store szabályai megkövetelik, hogy minden olyan szoftver, amely bármilyen webböngészési funkciót kínál WebKiten kell alapulnia, beleértve az olyan böngészőket, mint a Chrome, a Firefox és az Edge, amelyek nem támaszkodnak az Apple böngészési kódjára semmilyen más platformon, ahol esetleg használhatja őket.

Ezenkívül minden felugró ablakkal rendelkező Mac és iDevice alkalmazás, mint pl Segítség or Rólunk a képernyők a HTML-t használják „megjelenítési nyelvként” – ez a programozási kényelem, amely érthető módon népszerű a fejlesztők körében.

Azok az alkalmazások, amelyek ezt teszik, szinte biztosan az Apple alkalmazását használják Web nézet rendszerfunkciók, és a WebView alapú közvetlenül a WebKit tetején, ezért a WebKit esetleges sebezhetősége érinti.

A CVE-2022 32893- A sérülékenység ezért potenciálisan sokkal több alkalmazást és rendszerelemet érinthet, mint csupán az Apple saját Safari böngészőjét, így a Safari elkerülése nem tekinthető megkerülő megoldásnak, még azokon a Maceken sem, ahol a nem WebKit böngészők engedélyezettek.

Aztán jön egy második nulladik nap

Van egy kernelkód-végrehajtási lyuk is CVE-2022 32894-, amellyel egy támadó, aki a fent említett WebKit hiba kihasználásával már alapvetıen megvetette a lábát az Apple eszközén…

…egyetlen alkalmazás vezérléséről az eszközön át tud ugrani magának az operációs rendszer kernelének átvételére, így olyan „adminisztratív szuperképességeket” szerezhet, amelyek általában magának az Apple-nek vannak fenntartva.

Ez szinte biztosan azt jelenti, hogy a támadó:

• Kémkedni minden jelenleg futó alkalmazást
• Töltse le és indítsa el a további alkalmazásokat anélkül, hogy át kellene keresnie az App Store-t
• Hozzáférhet szinte az összes adathoz az eszközön
• Módosítsa a rendszer biztonsági beállításait
• Keresse meg tartózkodási helyét
• Vegyen screenshotokat
• Használja a készülék kameráit
• Aktiválja a mikrofont
• Szöveges üzenetek másolása
• Kövesse nyomon a böngészést…

…és még sok más.

Az Apple nem mondta el, hogyan találták meg ezeket a hibákat (az elismerésen kívül „névtelen kutató”), nem mondta meg, hogy a világon hol használták ki őket, és azt sem, hogy ki és milyen célra használja őket.

Lazán szólva azonban egy működő WebKit RCE, amelyet egy működő kernel exploit követ, amint az itt látható, általában biztosítja az összes szükséges funkciót mount egy eszköz jailbreak (ezért szándékosan megkerülve szinte az összes Apple által előírt biztonsági korlátozást), vagy arra telepítse a háttérben lévő kémprogramokat és átfogó felügyelet alatt tartjuk.

Mit kell tenni?

Patch egyszerre!

A cikk írásakor az Apple ajánlásokat tett közzé iPad OS 15 és iOS 15, amelyek mindegyike frissített verziószámot kap 15.6.1, Valamint a macOS Monterey 12, amely frissített verziószámot kap 12.5.2.

• iPhone vagy iPad készülékén: beállítások > általános > szoftver frissítése
• A Mac számítógépen: Apple menü > Erről a Macről > Szoftver frissítés…

Van egy frissítés is, amely szükséges WATCH verzióra 8.7.1, de ez a frissítés nem sorol fel semmilyen CVE-számot, és nem rendelkezik saját biztonsági figyelmeztetéssel.

Arról nincs hír, hogy a macOS régebbi támogatott verziói (Big Sur és Catalina) érintettek-e, de még nem érhetők el frissítések, vagy a tvOS sebezhető-e, de még nincs javítva.

További információkért nézze meg ezt a helyet, és tartsa szemmel az Apple hivatalos biztonsági közleményét. HT201222.