Az Apple csendben újabb frissítéseket vezetett be iOS-re, hogy kijavítsa az aktívan kihasznált nulladik napi biztonsági rést, amelyet a hónap elején javított ki az újabb eszközökön. A WebKitben található biztonsági rés lehetővé teszi a támadók számára, hogy rosszindulatú webes tartalmat hozzanak létre, amely lehetővé teszi a távoli kódfuttatást (RCE) a felhasználó eszközén.
Egy frissítés szerdán megjelent, iOS 12.5.6, a következő modellekre vonatkozik: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 és iPod touch 6. generációs.
A szóban forgó hiba (CVE-2022 32893-) az Apple határokon kívüli írási problémaként írja le a WebKitben. A javítás javítva lett a határellenőrzéssel. Az Apple elismerte, hogy a hiba aktív kihasználás alatt áll, és az érintett eszközök felhasználóit azonnali frissítésre ösztönzi.
Az Apple már befoltozta néhány eszközön a sebezhetőséget – a CVE-2022-32894 jelű kernelhibával együtt – augusztus elején iOS 15.6.1-ben. Ez az egy frissítés amely az iPhone 6S és újabb, az iPad Pro (minden modell), az iPad Air 2 és újabb, az 5. generációs iPad és az újabb, az iPad mini 4 és az újabb, valamint az iPod touch (7. generáció) készülékekre terjedt ki.
Úgy tűnik, hogy a javítások legújabb köre az Apple minden alapját lefedi az iOS régebbi verzióit futtató iPhone-ok védelmével – jegyezte meg Paul Ducklin biztonsági evangélista.
„Azt feltételezzük, hogy az Apple találkozott legalább néhány olyan régebbi telefonok magas profilú (vagy magas kockázatú, vagy mindkettő) felhasználójával, akiket ilyen módon kompromittáltak, és úgy döntött, hogy különleges elővigyázatosságból mindenkit megvéd. " írt egy bejegyzésben a Sophos Naked Security blogon.
Ducklin magyarázata szerint az Apple kettős lefedettsége a hiba kijavítására az iOS mindkét verziójában annak köszönhető, hogy megváltozott a platform melyik verziója és mely iPhone-okon.
Mielőtt az Apple kiadta az iOS 13.1-et és az iPadOS 13.1-et, az iPhone-ok és iPad-ek ugyanazt az operációs rendszert használták, amelyet iOS-nek neveztek mindkét eszközön, mondta. Az iOS 12.x most az iPhone 6 és korábbi eszközöket fedi le, míg az iOS 13.1 és újabb verziók az iPhone 6s-en és az azt követően kiadott eszközökön futnak.
A másik nulladik napi hiba, amelyet az Apple a hónap elején kijavított, a CVE-2022-32894, a kernel sebezhetősége volt, amely lehetővé teszi az eszköz teljes átvételét. De míg az iOS 13-at érintette ez a hiba – és így kapott hozzá egy javítást a korábbi frissítésben –, ez nem érinti az iOS 12-t – jegyezte meg Ducklin – „amivel szinte biztosan elkerülhető az operációs rendszer teljes kompromittálása” a régebbi verziókban. eszközöket.
WebKit: széles kibertámadási felület
A WebKit az a böngészőmotor, amely a Safarit és az iOS rendszeren működő összes többi, harmadik féltől származó böngészőt működteti. A CVE-2022-32893 kihasználásával a fenyegetés szereplői rosszindulatú tartalmat építhetnek be egy webhelybe. Ezután, ha valaki egy érintett iPhone-ról keresi fel az oldalt, a színész távolról is végrehajthat rosszindulatú programot az eszközén.
A WebKit általában állandó szálka volt az Apple szemében, amikor a felhasználókat sebezhető pontoknak teszi ki, mivel az iPhone-okon és más Apple-eszközökön túl más böngészőkre is átterjed, amelyek használják – beleértve a Firefoxot, az Edge-t és a Chrome-ot –, és potenciálisan felhasználók millióit veszélyezteti adott hiba.
„Ne feledje, hogy a WebKit hibák lazán szólva a Safari alatti szoftverrétegben léteznek, így nem az Apple saját Safari böngészője az egyetlen alkalmazás, amelyet ez a sérülékenység fenyeget” – jegyezte meg Ducklin.
Ezen túlmenően minden olyan alkalmazás, amely internetes tartalmat jelenít meg iOS rendszeren az általános böngészéstől eltérő célokra – például a súgóoldalakon, "Ról ről" képernyőn, vagy akár egy beépített „miniböngészőben” – a WebKit a motorháztető alatt használja – tette hozzá.
„Más szavakkal, pusztán a „Safari elkerülése” és a harmadik féltől származó böngészőhöz való ragaszkodás nem megfelelő megoldás [a WebKit-hibákra]” – írta Ducklin.
Apple támadás alatt
Bár a felhasználók és a szakemberek hagyományosan biztonságosabbnak tartják az Apple Mac és iOS platformjait, mint a Microsoft Windows - és ez általában több okból is így volt -, a dagály kezd fordulni, mondják a szakértők.
Valójában egy kialakulóban lévő fenyegetettség, amely nagyobb érdeklődést mutat a mindenütt jelenlévő webtechnológiák és nem maga az operációs rendszer iránt. kitágította a célt szerint az Apple hátán fenyegetési jelentést januárban jelent meg, és a cég védekező foltozási stratégiája ezt tükrözi.
Az Apple idén legalább négy nulladik napi hibát javított ki, és két javítás érkezik a korábbi iOS és macOS sebezhetőségekre. január és egy be február - amely utóbbi egy másik, aktívan kihasznált hibát javított ki a WebKitben.
Sőt, tavaly 12 az 57 nulladik napi fenyegetést, hogy a kutatók a Google Project Zero lánctalpas Az Apple-lel kapcsolatosak (azaz több mint 20%), a problémák a macOS-t, iOS-t, iPadOS-t és a WebKit-et érintették.
