Apple patch double zero-day nel browser e nel kernel: aggiorna ora!

Apple ha appena rilasciato un aggiornamento di emergenza per due bug zero-day che apparentemente sono attivamente sfruttato.

C'è un Remote Code Execution Hole (RCE) soprannominato CVE-20220-32893 nel software di rendering HTML di Apple (WebKit), per mezzo del quale una pagina Web intrappolata può indurre iPhone, iPad e Mac a eseguire codice software non autorizzato e non affidabile.

In poche parole, un criminale informatico potrebbe impiantare malware sul tuo dispositivo anche se tutto ciò che hai fatto è stato visualizzare una pagina web altrimenti innocente.

Ricorda che WebKit è la parte del motore del browser di Apple che si trova sotto assolutamente tutti i software di rendering web sui dispositivi mobili di Apple.

I Mac possono eseguire versioni di Chrome, Chromium, Edge, Firefox e altri browser "non Safari" con motori HTML e JavaScript alternativi (Chromium, ad esempio, utilizza Lampeggiare ed V8; Firefox si basa su Geco ed Rinoceronte).

Ma su iOS e iPadOS, le regole dell'App Store di Apple insistono sul fatto che qualsiasi software che offra qualsiasi tipo di funzionalità di navigazione web deve essere basato su WebKit, inclusi browser come Chrome, Firefox ed Edge che non si basano sul codice di navigazione di Apple su altre piattaforme in cui potresti utilizzarli.

Inoltre, qualsiasi app per Mac e iDevice con finestre popup come Aiuto or Chi siamo gli schermi utilizzano l'HTML come "linguaggio di visualizzazione", una comodità programmatica che è comprensibilmente popolare tra gli sviluppatori.

Le app che lo fanno quasi sicuramente usano quelle di Apple WebView funzioni di sistema e WebView è basato direttamente sopra WebKit, quindi è interessato da eventuali vulnerabilità in WebKit.

I CVE-2022-32893 la vulnerabilità quindi potenzialmente interessa molte più app e componenti di sistema rispetto al semplice browser Safari di Apple, quindi semplicemente evitare Safari non può essere considerato una soluzione alternativa, anche su Mac in cui sono consentiti browser non WebKit.

Poi c'è un secondo giorno zero

C'è anche un buco di esecuzione del codice del kernel soprannominato CVE-2022-32894, per cui un utente malintenzionato che ha già preso piede sul tuo dispositivo Apple sfruttando il suddetto bug WebKit...

…potrebbe passare dal controllo di una singola app sul tuo dispositivo all'acquisizione del kernel stesso del sistema operativo, acquisendo così quella sorta di "superpoteri amministrativi" normalmente riservati alla stessa Apple.

Questo quasi certamente significa che l'attaccante potrebbe:

• Spia tutte le app attualmente in esecuzione
• Scarica e avvia app aggiuntive senza passare dall'App Store
• Accedi a quasi tutti i dati sul dispositivo
• Modifica le impostazioni di sicurezza del sistema
• Recupera la tua posizione
• Fai screenshot
• Usa le fotocamere nel dispositivo
• Attiva il microfono
• Copia i messaggi di testo
• Tieni traccia della tua navigazione...

…e altro ancora.

Apple non ha detto come sono stati trovati questi bug (a parte il credito “un ricercatore anonimo”), non ha detto in quale parte del mondo sono stati sfruttati e non ha detto chi li sta usando o per quale scopo.

In parole povere, tuttavia, un WebKit RCE funzionante seguito da un exploit del kernel funzionante, come visto qui, in genere fornisce tutte le funzionalità necessarie per montare un jailbreak del dispositivo (quindi aggirando deliberatamente quasi tutte le restrizioni di sicurezza imposte da Apple) o a installare lo spyware in background e tenerti sotto una sorveglianza completa.

Cosa fare?

Patch in una volta!

Al momento in cui scrivo, Apple ha pubblicato avvisi per iPad OS 15 e iOS 15, che ottengono entrambi i numeri di versione aggiornati di 15.6.1, E per macOS Monterey 12, che ottiene un numero di versione aggiornato di 12.5.2.

• Sul tuo iPhone o iPad: Impostazioni profilo > Generale > Aggiornamento software
• Sul tuo Mac: Menu Apple > Informazioni su questo Mac > Aggiornamento software...

C'è anche un aggiornamento che richiede watchOS alla versione 8.7.1, ma quell'aggiornamento non elenca alcun numero CVE e non ha un proprio avviso di sicurezza.

Non si sa se le versioni supportate precedenti di macOS (Big Sur e Catalina) siano interessate ma non hanno ancora aggiornamenti disponibili o se tvOS sia vulnerabile ma non ancora patchato.

Per ulteriori informazioni, guarda questo spazio e tieni d'occhio la pagina del portale del Bollettino sulla sicurezza ufficiale di Apple, HT201222.