Apple diam-diam meluncurkan lebih banyak pembaruan untuk iOS untuk memperbaiki kerentanan keamanan zero-day yang dieksploitasi secara aktif yang ditambal awal bulan ini di perangkat yang lebih baru. Kerentanan, ditemukan di WebKit, dapat memungkinkan penyerang untuk membuat konten Web berbahaya yang memungkinkan eksekusi kode jarak jauh (RCE) pada perangkat pengguna.
Sebuah pembaharuan dirilis Rabu, iOS 12.5.6, berlaku untuk model berikut: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, dan iPod touch generasi ke-6.
Kesalahan yang dimaksud (CVE-2022-32893) dijelaskan oleh Apple sebagai masalah penulisan di luar batas di WebKit. Masalah ini telah diatasi di patch dengan pemeriksaan batas yang ditingkatkan. Apple mengakui bahwa bug tersebut sedang dieksploitasi secara aktif, dan Apple mendesak pengguna perangkat yang terkena dampak untuk segera memperbaruinya.
Apple telah menambal kerentanan untuk beberapa perangkat — di samping kelemahan kernel yang dilacak sebagai CVE-2022-32894 — awal Agustus di iOS 15.6.1. itu update yang mencakup iPhone 6S dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7).
Putaran tambalan terbaru tampaknya Apple yang mencakup semua basisnya dengan menambahkan perlindungan untuk iPhone yang menjalankan versi iOS yang lebih lama, kata penginjil keamanan Paul Ducklin.
“Kami menduga bahwa Apple pasti telah menemukan setidaknya beberapa pengguna ponsel lama (atau berisiko tinggi, atau keduanya) yang dikompromikan dengan cara ini, dan memutuskan untuk mendorong perlindungan untuk semua orang sebagai tindakan pencegahan khusus, " dia menulis dalam sebuah posting di blog Sophos Naked Security.
Cakupan ganda oleh Apple untuk memperbaiki bug di kedua versi iOS ini disebabkan oleh perubahan versi platform yang dijalankan di iPhone, Ducklin menjelaskan.
Sebelum Apple merilis iOS 13.1 dan iPadOS 13.1, iPhone dan iPad menggunakan sistem operasi yang sama, yang disebut iOS untuk kedua perangkat, katanya. Sekarang, iOS 12.x mencakup iPhone 6 dan perangkat sebelumnya, sementara iOS 13.1 dan versi yang lebih baru berjalan di iPhone 6s dan perangkat yang dirilis setelahnya.
Cacat zero-day lainnya yang ditambal Apple awal bulan ini, CVE-2022-32894, adalah kerentanan kernel yang memungkinkan pengambilalihan seluruh perangkat. Namun meskipun iOS 13 terpengaruh oleh kelemahan tersebut – dan dengan demikian mendapat patch untuk itu di pembaruan sebelumnya – hal ini tidak memengaruhi iOS 12, menurut pengamatan Ducklin, “yang hampir pasti menghindari risiko kompromi total pada sistem operasi itu sendiri” pada versi lama. perangkat.
WebKit: Permukaan Serangan Siber yang Luas
WebKit adalah mesin peramban yang mendukung Safari dan semua peramban pihak ketiga lainnya yang bekerja di iOS. Dengan mengeksploitasi CVE-2022-32893, aktor ancaman dapat membangun konten berbahaya ke dalam situs web. Kemudian, jika seseorang mengunjungi situs tersebut dari iPhone yang terpengaruh, aktor tersebut dapat mengeksekusi malware dari jarak jauh di perangkatnya.
WebKit secara umum telah menjadi duri yang terus-menerus di pihak Apple dalam hal mengekspos pengguna terhadap kerentanan karena webKit menyebar melampaui iPhone dan perangkat Apple lainnya ke browser lain yang menggunakannya — termasuk Firefox, Edge, dan Chrome — yang berpotensi membahayakan jutaan pengguna. bug tertentu.
“Ingat bahwa bug WebKit ada, secara longgar, pada lapisan perangkat lunak di bawah Safari, sehingga browser Safari milik Apple bukan satu-satunya aplikasi yang berisiko dari kerentanan ini,” Ducklin mengamati.
Selain itu, aplikasi apa pun yang menampilkan konten web di iOS untuk tujuan selain penelusuran umum — seperti di halaman bantuannya, aplikasi tersebut "Tentang" layar, atau bahkan di "minibrowser" built-in — menggunakan WebKit di bawah tenda, tambahnya.
"Dengan kata lain, hanya 'menghindari Safari' dan tetap menggunakan browser pihak ketiga bukanlah solusi yang cocok [untuk bug WebKit]," tulis Ducklin.
Apple Diserang
Sementara pengguna dan profesional sama-sama secara tradisional menganggap platform Mac dan iOS Apple lebih aman daripada Microsoft Windows - dan ini umumnya benar karena sejumlah alasan - gelombang mulai berbalik, kata para ahli.
Memang, lanskap ancaman yang muncul menunjukkan lebih banyak minat untuk menargetkan lebih banyak teknologi Web di mana-mana dan bukan OS itu sendiri telah melebarkan target di punggung Apple, menurut laporan ancaman dirilis pada bulan Januari, dan strategi penambalan defensif perusahaan mencerminkan hal ini.
Apple telah menambal setidaknya empat kelemahan zero-day tahun ini, dengan dua patch untuk kerentanan iOS dan macOS sebelumnya masuk Januari dan satu masuk Februari — yang terakhir memperbaiki masalah lain yang dieksploitasi secara aktif di WebKit.
Apalagi, tahun lalu 12 dari 57 ancaman zero-day yang peneliti dari Google Project Zero dilacak terkait dengan Apple (yaitu, lebih dari 20%), dengan masalah yang memengaruhi macOS, iOS, iPadOS, dan WebKit.
