Apple menambal bug browser "0-hari" diperbaiki 2 minggu yang lalu di Chrome, Edge

Apple telah mengeluarkan patch terbarunya, memperbaiki lebih dari 50 kerentanan keamanan bernomor CVE dalam rangkaian produk yang didukungnya.

Buletin keamanan yang relevan, nomor pembaruan, dan di mana menemukannya secara online adalah sebagai berikut:

• APPLE-SA-2022-07-20-1: iOS 15.6 dan iPadOS 15.6, rincian di HT213346
• APPLE-SA-2022-07-20-2: macOS Monterey 12.5, rincian di HT213345
• APPLE-SA-2022-07-20-3: macOS Big Sur 11.6.8, rincian di HT213344
• APPLE-SA-2022-07-20-4: Pembaruan Keamanan 2022-005 Catalina, rincian di HT213343
• APPLE-SA-2022-07-20-5: TVOS 15.6, rincian di HT213342
• APPLE-SA-2022-07-20-6: menontonOS 8.7, rincian di HT213340
• APPLE-SA-2022-07-20-7: Safari 15.6 rincian di HT213341

Seperti biasa dengan Apple, tambalan browser Safari dibundel ke dalam pembaruan untuk macOS (Monterey) terbaru, serta ke dalam pembaruan untuk iOS dan iPad OS.

Tetapi pembaruan untuk macOS versi lama tidak menyertakan Safari, jadi pembaruan Safari mandiri (lihat HT213341 di atas) oleh karena itu berlaku untuk pengguna versi macOS sebelumnya (baik Big Sur dan Catalina masih didukung secara resmi), yang perlu mengunduh dan menginstal dua pembaruan, bukan hanya satu.

Kehormatan zero-day

Omong-omong, jika Anda memiliki Mac dengan versi macOS yang lebih lama, jangan lupa tentang unduhan kedua untuk Safari, karena itu sangat penting, setidaknya sejauh yang kita bisa lihat.

Itu karena salah satu tambalan terkait browser dalam putaran pembaruan ini berkaitan dengan kerentanan di WebRTC (komunikasi real-time web) dikenal sebagai CVE-2022-2294...

…dan jika nomor itu terdengar familier, seharusnya, karena itu adalah bug yang sama dulu ditetapkan sebagai hari nol oleh Google di Chrome (dan oleh Microsoft di Edge) sekitar dua minggu yang lalu:

Menariknya, Apple belum mendeklarasikan kerentanan bulan ini sebagai "dilaporkan berada di alam liar", atau sebagai "bug nol hari", meskipun patch yang disebutkan di atas dijuluki lubang nol hari oleh Google.

Entah itu karena bug tidak mudah dieksploitasi di Safari, atau hanya karena tidak ada yang melacak kembali perilaku buruk Safari apa pun ke cacat khusus ini, kami tidak dapat memberi tahu Anda, tetapi kami memperlakukannya sebagai "kehormatan kerentanan zero-day”, dan sebagai hasilnya, menambal dengan giat.

Pwn2Lubang sendiri ditutup

Apple juga tampaknya telah memperbaiki bug yang ditemukan oleh peneliti keamanan siber Jerman Manfred Paul pada kompetisi Pwn2Own baru-baru ini di Kanada, pada Mei 2022.

Podcast terbaru Dengarkan sekarang! Firefox & Pwn2Own, Apple dan 0-day… dan matematika yang mengalahkan Pythagoras.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Keamanan Telanjang (@NakedSecurity) 20 Mei 2022

Manfred Paul mengeksploitasi Firefox dengan bug dua tahap yang memberinya $ 100,000 ($ 50,000 untuk setiap bagian), dan masuk ke Safari juga, dengan hadiah $ 50,000 lebih lanjut.

Memang, Mozilla menerbitkan perbaikannya untuk bug Paul dalam dua hari menerima laporannya di Pwn2Own:

Apple, sebaliknya, membutuhkan waktu dua bulan untuk mengirimkan patch pasca-Pwn2Own:

WebKit

Dampak: Memproses konten web perusak yang berbahaya dapat menyebabkan eksekusi kode arbitrer

Deskripsi: Masalah penulisan di luar batas telah diatasi dengan validasi input yang ditingkatkan.

CVE-2022-32792: Manfred Paul (@_manfp) bekerja sama dengan Trend Micro Zero Day Initiative [Pwn2Own]

Ingat, bagaimanapun, bahwa pengungkapan yang bertanggung jawab adalah bagian dari kompetisi Pwn2Own, yang berarti bahwa siapa pun yang mengklaim hadiah diharuskan tidak hanya untuk menyerahkan rincian lengkap dari eksploitasi mereka kepada vendor yang terpengaruh, tetapi juga untuk tetap diam tentang kerentanan sampai patch keluar. .

Dengan kata lain, meskipun waktu pengiriman patch Mozilla selama dua hari patut dipuji dan menggairahkan, respons Apple yang jauh lebih lambat masih dapat diterima.

Streaming video langsung yang mungkin telah Anda lihat dari Pwn2Own berfungsi untuk menunjukkan apakah setiap serangan pesaing berhasil, bukan untuk mengungkapkan informasi apa pun tentang cara kerja serangan tersebut. Tampilan video yang digunakan oleh para pesaing membelakangi kamera, sehingga Anda dapat melihat wajah para pesaing dan juri, tetapi bukan apa yang mereka ketik atau lihat.

Serangan multi-tahap

Seperti biasa, banyak bug yang ditambal oleh Apple dalam pembaruan ini mencakup kerentanan yang, secara teori, dapat dirantai bersama oleh penyerang yang gigih.

Sebuah bug terdaftar dengan ketentuan bahwa “aplikasi dengan hak akses root mungkin dapat mengeksekusi kode arbitrer dengan hak istimewa kernel” tidak terdengar sangat mengkhawatirkan pada awalnya.

Lagi pula, jika penyerang sudah memiliki kekuatan root, mereka tetap mengendalikan komputer Anda.

Tetapi ketika Anda melihat bug di tempat lain di sistem yang terdaftar dengan peringatan bahwa “sebuah aplikasi mungkin bisa mendapatkan hak akses root”, Anda dapat melihat bagaimana kerentanan yang terakhir bisa menjadi batu loncatan yang nyaman dan tidak sah untuk yang pertama.

Dan ketika Anda juga melihat bug rendering gambar yang dijelaskan sebagai "memproses file yang dibuat dengan jahat dapat menyebabkan eksekusi kode arbitrer", Anda dapat dengan cepat melihat bahwa:

• Halaman web jebakan dapat berisi gambar yang meluncurkan kode yang tidak dipercaya.
• Kode yang tidak dipercaya itu bisa menanamkan aplikasi dengan hak istimewa rendah.
• Aplikasi yang tidak diinginkan bisa memperoleh kekuatan akar untuk dirinya sendiri.
• Aplikasi yang sekarang di-root bisa menyuntikkan kode jahatnya sendiri ke dalam kernel.

Dengan kata lain, setidaknya secara teoritis, hanya melihat situs web yang tampaknya tidak bersalah…

…bisa membuat Anda jatuh ke dalam rangkaian masalah, seperti pepatah terkenal yang berbunyi, “Karena kekurangan paku, sepatu itu hilang; karena kekurangan sepatu, kuda itu hilang; karena kekurangan kuda, pesan itu hilang; karena kekurangan pesan, pertempuran itu kalah… semua karena kekurangan paku tapal kuda.”

Apa yang harus dilakukan?

Itu sebabnya, seperti biasa, kami menyarankan Anda melakukan patch lebih awal; tambalan sering; menambal semuanya.

Apple, untuk kreditnya, menjadikan semua patch sebagai default: Anda tidak dapat memilih patch mana yang akan digunakan dan mana yang akan ditinggalkan "untuk nanti".

Satu-satunya pengecualian untuk aturan ini, seperti yang kami sebutkan di atas, adalah bahwa untuk macOS Big Sur dan macOS Catalina, Anda akan menerima sebagian besar pembaruan sistem operasi dalam satu unduhan raksasa, diikuti dengan proses unduh dan pembaruan terpisah untuk menginstal Safari versi terbaru.

Seperti biasa:

• Di iPhone atau iPad Anda: Settings > Umum > Memperbarui perangkat lunak
• Di Mac Anda: Menu apel > Tentang Mac ini > Pembaruan perangkat lunak…

---