Pembaruan untuk cerita pembaruan zero-day Apple – Pengguna iPhone dan iPad membaca ini!

Pembaca reguler akan mengetahui dua hal tentang sikap kami terhadap patch keamanan Apple:

• Kami ingin mendapatkan mereka secepat kami bisa. Baik itu pemutakhiran versi lengkap yang juga menyertakan banyak perbaikan keamanan, atau rilis titik (yang di mana nomor versi paling kiri tidak berubah) dengan tujuan utama menambal bug daripada menambahkan fitur baru, kami lebih suka melakukan kesalahan. sisi menerapkan perbaikan keamanan yang diketahui daripada meninggalkan perangkat kami dengan lubang yang sekarang diketahui penyerang, bahkan jika mereka belum tahu cara mengeksploitasinya.
• Namun kami sangat sering menemukan buletin Apple membingungkan. Misalnya, Anda tidak pernah benar-benar tahu di mana Anda berdiri jika Anda terjebak pada versi yang tidak mendapatkan pembaruan kali ini.

Buletin keamanan terbaru Apple, yang keluar awal minggu ini, tampaknya mencontohkan bagaimana perusahaan terkadang tampaknya meningkatkan kebingungan dengan mengatakan terlalu sedikit… yang tidak selalu merupakan alternatif yang menyenangkan untuk mengetahui terlalu banyak:

Kebingungan yang muncul

Berdasarkan pertanyaan dan komentar yang kami terima dari pembaca dalam beberapa hari terakhir, kebingungan berikut muncul:

• Mengapa satu buletin keamanan menjelaskan pembaruan yang dijuluki iOS 16.1 dan iPadOS 16? Kami tahu bahwa iPadOS 16 tertunda, begitu juga pembaruan terbaru ini berarti bahwa iPadOS sekarang hanya ditambal ke tingkat keamanan yang sama dengan iOS 16, yang keluar lebih dari sebulan yang lalu, sementara iOS maju ke 16.1, sehingga meninggalkan iPadOS lebih dari terpaut lima minggu dalam hal keamanan siber?
• Mengapa iPadOS 16 akhirnya melaporkan dirinya sebagai versi 16.1? (Terima kasih kepada Stefaan dari Belgia karena telah mengambil tangkapan layar dari proses pembaruan iPad-nya dan mengirimkannya.) Setelah memperbarui, About layar tampaknya mengatakan iPadOS 16, seperti yang dilakukan buletin keamanan, sementara iPadOS Version layar secara eksplisit mengatakan 16.1. Kedengarannya seolah-olah iPhone dan iPad sekarang tidak hanya mendukung "keluarga versi yang dikenal sebagai 16", tetapi juga keduanya memiliki perbaikan keamanan terbaru, jadi mengapa tidak memanggil keduanya versi 16.1 di mana-mana untuk kejelasan, termasuk dalam buletin keamanan dan pada About layar?
• Ke mana macOS 10 Catalina pergi? Secara tradisional, Apple menjatuhkan dukungan untuk macOS versi X-3 ketika versi X keluar, tetapi apakah itu penjelasan sebenarnya mengapa macOS 11 Big Sur dan macOS 12 Monterey (masing-masing versi X-2 dan X-1) mendapat pembaruan sementara Catalina tidak? t?
• Apa yang terjadi dengan iOS/iPadOS 15.7.1? Saat iOS 16 keluar pada bulan September 2022, keluarga versi sebelumnya juga menerima pembaruan penting, membawanya ke versi 15.7. Ini termasuk perbaikan kritis untuk menutup a lubang nol hari tingkat kernel di bawah eksploitasi aktif, yang sering diterjemahkan sebagai "seseorang di luar sana menyelinap spyware ke iPhone, guys". Jadi, mengingat iOS 16.1 disertakan lagi kernel zero-day fix, mungkin menutup jalan yang dieksploitasi oleh lebih banyak spyware, di mana patch yang sesuai untuk keluarga iOS/iPadOS 15, yang dengan analogi Anda anggap 15.7.1?

Seperti yang kami katakan di podcast kemarin, dihadapkan dengan pertanyaan keempat di atas dari pembaca yang bersangkutan, jawaban singkat kami hanyalah, “BEBEK: Tidak tahu./DOUG: Jernih seperti lumpur.”

Terkadang, bug keamanan di sistem operasi versi X tidak berlaku untuk versi X-1, misalnya karena bug ada di kode yang hanya ditambahkan, atau hanya terpapar bahaya, di rilis yang lebih baru.

Tetapi kami juga melihat Apple gagal menghasilkan pembaruan untuk versi sebelumnya karena dua alasan lain, baik [a] karena pembaruan benar-benar diperlukan, tetapi ternyata terlalu sulit untuk dipersiapkan dan diuji tepat waktu, atau [b] karena versi sebelumnya sekarang dianggap tidak mendukung, dan tidak akan mendapatkan pembaruan, apakah perlu atau tidak.

Dan dengan buletin keamanan Apple hampir selalu hanya memberi tahu Anda tentang tambalan yang tersedia saat ini, pembaruan yang hilang secara teratur tetap menjadi misteri yang tidak dapat dijelaskan (dan tidak dapat dijelaskan).

Sebuah ledakan buletin

Nah, pagi ini kami menerima ledakan 15 email buletin keamanan dari Apple, kebanyakan dari mereka mencantumkan banyak bug bernomor CVE dan masalah keamanan yang dilaporkan dalam buletin yang telah kami lihat di awal minggu.

Tak satu pun dari mereka secara langsung mengklarifikasi tiga pertanyaan pertama di atas, meskipun sekarang kami berasumsi bahwa alasan Apple mengacu pada "iPadOS 16" serta "iPadOS 16.1" adalah upaya yang mungkin salah arah untuk menyampaikan informasi bahwa iPadOS sekarang sudah terlambat. meningkatkan ke versi keluarga 16, serta mendapatkan memperbarui setara dalam perbaikan keamanan untuk iOS baru 16.1.

Tetapi buletin pertama di salvo terbaru dari Apple menyelesaikan pertanyaan terakhir yang tercantum di atas, dengan mengumumkan iOS/iPadOS 15.7.1, yang ternyata merupakan perbaikan kritis:

APPLE-SA-2022-10-27-1: iOS 15.7.1 dan iPadOS 15.7.1 iOS 15.7.1 dan iPadOS 15.7.1 mengatasi masalah berikut. Informasi tentang konten keamanan juga tersedia di https://support.apple.com/HT213490. [. . .] Kernel Tersedia untuk: iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7) Dampak: Aplikasi mungkin dapat untuk mengeksekusi kode arbitrer dengan hak istimewa kernel. Apple mengetahui laporan bahwa masalah ini mungkin telah dieksploitasi secara aktif. Deskripsi: Masalah penulisan di luar batas telah diatasi dengan pemeriksaan batas yang ditingkatkan. CVE-2022-42827: seorang peneliti anonim

Jadi, iOS/iPadOS 15 masih didukung, dan jika Anda tidak terburu-buru dan meningkatkan ke iOS 16.1 (atau ke iPadOS 16-yang-juga-16.1) di awal minggu…

…maka Anda harus memastikan bahwa Anda dapatkan iOS/iPadOS 15.7.1 segera, karena lubang zero-day kernel CVE-2022-42827 yang diperbaiki di iOS 16.1 ada di sana di iOS/iPadOS 15.7, di bawah eksploitasi aktif.

Dengan kata lain, ini adalah salah satu kasus di mana alasan hilangnya pembaruan beberapa hari yang lalu hampir pasti karena tambalan tidak siap pada waktunya.

Apa yang harus dilakukan?

TL;DR jika Anda pengguna iPhone atau iPad: jika Anda masih menggunakan iOS/iPadOS versi utama 15, buka Settings > Umum > Security Update segera.

Periksa meskipun Anda telah mengaktifkan pembaruan otomatis, dan ingat tidak hanya untuk menyetujui unduhan jika Anda belum memilikinya, tetapi juga untuk memaksa perangkat Anda melewati tahap penginstalan, yang memerlukan satu atau lebih boot ulang (dan memang, tentu saja, buat ponsel atau tablet Anda offline untuk sementara waktu).

TL;DR jika Anda Apple: sedikit kejelasan akan sangat membantu dalam buletin keamanan, terutama ketika Anda tahu bahwa pembaruan penting adalah sayap bagi pengguna versi sebelumnya, atau bahwa mereka tidak akan memerlukan pembaruan karena versi mereka tidak terpengaruh.

Omong-omong, jika Anda memutuskan untuk beralih ke iOS/iPadOS 16.1 awal minggu ini, untuk amannya…

…Anda sekarang tidak dapat kembali ke iOS/iPadOS 15.7.1, karena Apple tidak mengizinkan penurunan versi.

(Penurunan versi memfasilitasi jailbreaking, yang ingin dicegah oleh Apple, dan dalam hal apa pun akan memerlukan penghapusan data lengkap terlebih dahulu untuk mencegah penurunan versi digunakan sebagai bypass keamanan "bawa bug Anda sendiri" yang jahat untuk mengekstrak informasi pribadi.)

---