עדכונים לסיפור העדכונים האפס יום של אפל - משתמשי אייפון ואייפד קוראים את זה!

קוראים קבועים יידעו שני דברים על היחס שלנו לתיקוני האבטחה של אפל:

• אנחנו אוהבים להשיג אותם בהקדם האפשרי. בין אם מדובר בשדרוג גרסה מלא הכולל גם חבורה של תיקוני אבטחה, או שחרור נקודתי (כזה שבו מספר הגרסה השמאלית ביותר אינו משתנה) במטרה העיקרית של תיקון באגים במקום להוסיף תכונות חדשות, אנו מעדיפים לטעות בעניין הצד של החלת תיקוני אבטחה ידועים מאשר השארת המכשירים שלנו עם חורים שהתוקפים מודעים אליהם כעת, גם אם הם עדיין לא יודעים כיצד לנצל אותם.
• עם זאת, לעתים קרובות מאוד אנו מוצאים את העלונים של אפל מבלבלים. לדוגמה, אתה אף פעם לא יודע איפה אתה עומד אם אתה תקוע בגרסה שלא זכתה לעדכון הפעם.

עלוני האבטחה האחרונים של אפל, שיצאו בתחילת השבוע ממש, נראה כי הם מדגימים כיצד החברה לפעמים מגבירה את הבלבול בכך שהיא אומרת מעט מדי... מה שלא תמיד מהווה אלטרנטיבה משמחת לגלות יותר מדי:

בלבול מתהווה

בהתבסס על פניות והערות שקיבלנו מהקוראים בימים האחרונים, התעורר הבלבול הבא:

• מדוע עלון אבטחה יחיד תיאר עדכונים שכונו iOS 16.1 ו- iPadOS 16? אנו יודעים ש-iPadOS 16 התעכב, כך שפירוש העדכון האחרון הזה הוא ש-iPadOS תוקן כעת רק לאותה רמת אבטחה כמו iOS 16, שיצא לפני יותר מחודש, בעוד ש-iOS התקדם ל-16.1, ובכך השאיר את iPadOS יותר מ- מרחק של חמישה שבועות במונחי אבטחת סייבר?
• מדוע iPadOS 16 דיווח על עצמו בסופו של דבר כגרסה 16.1? (תודה לסטפאן מבלגיה על שצילם צילומי מסך של תהליך עדכון האייפד שלו ושליחתם.) לאחר העדכון, About המסך כנראה אומר iPadOS 16, כמו עלון האבטחה, בעוד iPadOS Version המסך אומר במפורש 16.1. זה נשמע כאילו מכשירי האייפון והאייפד כעת לא רק שתומכים ב"משפחת הגרסאות המכונה 16", אלא גם לשניהם יש את תיקוני האבטחה העדכניים ביותר, אז למה לא פשוט לקרוא לשניהם גרסה 16.1 בכל מקום לבירור, כולל בעלון האבטחה ועל ה About מָסָך?
• לאן נעלמה macOS 10 Catalina? באופן מסורתי, אפל מפסיקה את התמיכה ב-macOS גרסה X-3 כאשר גרסה X יוצאת, אבל זה ההסבר האמיתי למה macOS 11 Big Sur ו-macOS 12 Monterey (גרסאות X-2 ו-X-1 בהתאמה) קיבלו עדכונים בעוד שקטלינה לא קיבלה עדכונים לא?
• מה קרה ל-iOS/iPadOS 15.7.1? כאשר iOS 16 יצא בספטמבר 2022, משפחת הגרסאות הקודמת קיבלה גם עדכונים קריטיים, והעבירו אותה לגרסה 15.7. זה כלל תיקון קריטי לסגירת א חור אפס יום ברמת הגרעין תחת ניצול פעיל, שמתורגם לעתים קרובות כ"מישהו בחוץ מחמיא תוכנות ריגול לאייפון, אנשים". אז, בהתחשב בכך ש- iOS 16.1 כלול עוד תיקון ליבה ליום אפס, אולי סוגר שדרה המנוצלת על ידי תוכנות ריגול נוספות, היכן היה התיקון המתאים למשפחת iOS/iPadOS 15, שבאנלוגיה הייתם מניחים שיהיה 15.7.1?

כפי שאמרנו ב הפודקאסט של אתמול, מול השאלה הרביעית למעלה מקורא מודאג, התשובה הקצרה שלנו הייתה פשוט, "ברווז: לא יודע./DOUG: צלול כמו בוץ."

לפעמים, באגי אבטחה בגרסה X של מערכת ההפעלה פשוט לא חלים על גרסה X-1, למשל בגלל שהבאגים קיימים בקוד שרק התווסף, או רק חשוף לסכנה, במהדורות חדשות יותר.

אבל ראינו גם את אפל לא מצליחה לייצר עדכונים לגרסאות קודמות משתי סיבות אחרות, או [א] כי יש צורך בעדכון באמת, אך התברר כמסובך מדי להתכונן ולבדוק בזמן, או [ב] כי הגרסה הקודמת נחשבה כעת ללא תמיכה, ולא התכוונה לקבל עדכון, בין אם נחוץ או לא.

וכאשר עלוני אבטחה של אפל כמעט תמיד מספרים לך רק על תיקונים הזמינים כעת, עדכונים חסרים נשארים באופן קבוע בגדר תעלומה בלתי מוסברת (ובלתי מוסברת).

פיצוץ של עלונים

ובכן, הבוקר קיבלנו פיצוץ של 15 הודעות דוא"ל של עלוני אבטחה מאפל, רובם מפרטים רבים מהבאגים ובעיות האבטחה המסופרים ב-CVE שדווחו בעלונים שכבר ראינו מוקדם יותר השבוע.

אף אחת מהן לא הבהירה ישירות את שלוש השאלות הראשונות לעיל, אם כי כעת אנו מניחים שהסיבה לכך שאפל התייחסה ל-"iPadOS 16" כמו גם ל-"iPadOS 16.1" הייתה ניסיון אולי מוטעה להעביר את המידע שה-iPadOS מקבל כעת באיחור שדרוג לגרסה משפחתית 16, כמו גם קבלת an עדכון שווה ערך בתיקוני אבטחה ל-iOS 16.1 החדש.

אבל העלון הראשון ב-salvo האחרון מאפל אכן פתר את השאלה האחרונה הרשומה לעיל, על ידי הכרזת iOS/iPadOS 15.7.1, אשר מסתבר שהוא תיקון קריטי:

APPLE-SA-2022-10-27-1: iOS 15.7.1 ו-iPadOS 15.7.1

iOS 15.7.1 ו-iPadOS 15.7.1 מטפלים בבעיות הבאות.
מידע על תוכן האבטחה זמין גם בכתובת
https://support.apple.com/HT213490.

[. . .]

גַרעִין
זמין עבור: iPhone 6s ואילך, iPad Pro (כל הדגמים),
iPad Air 2 ואילך, iPad דור 5 ואילך,
iPad mini 4 ואילך, ו-iPod touch (דור 7)

השפעה: ייתכן שאפליקציה תוכל להפעיל קוד שרירותי
עם הרשאות ליבה. אפל מודעת לדיווח על כך
ייתכן שהבעיה נוצלה באופן פעיל.

תיאור: בעיית כתיבה מחוץ לתחום טופלה עם
בדיקת גבולות משופרת.

CVE-2022-42827: חוקר אנונימי

אז, iOS/iPadOS 15 עדיין נתמך, ואם לא נשכתם את הכדור ושדרגתם ל-iOS 16.1 (או ל-iPadOS 16-שהוא-גם-16.1) מוקדם יותר השבוע...

...אז אתה צריך לוודא שאתה קבל את iOS/iPadOS 15.7.1 מיד, מכיוון שחור האפס של הליבה CVE-2022-42827 שתוקן ב-iOS 16.1 נמצא ממש ב-iOS/iPadOS 15.7, תחת ניצול פעיל.

במילים אחרות, זה היה אחד מאותם מקרים שבהם הסיבה לעדכון החסר לפני כמה ימים הייתה כמעט בוודאות פשוט שהתיקונים לא היו מוכנים בזמן.

מה לעשות?

TL;DR אם אתה משתמש באייפון או אייפד: אם אתה עדיין על iOS/iPadOS גרסה 15 הראשית, עבור אל הגדרות > כללי > עדכון אבטחה מיד.

בדוק גם אם הפעלת עדכונים אוטומטיים, וזכור לא רק לאשר את ההורדה אם עדיין אין לך אותה, אלא גם כדי לאלץ את המכשיר שלך לעבור את שלב ההתקנה, הדורש אתחול אחד או יותר (וכן, כמובן, קח את הטלפון או הטאבלט שלך במצב לא מקוון לזמן מה).

TL;DR אם אתה אפל: קצת יותר בהירות תעזור להרבה מאוד עלוני אבטחה, במיוחד כאשר אתה יודע שעדכון קריטי הוא הכנפיים של משתמשים בגרסאות קודמות, או שהם לא יזדקקו לעדכון כי הגרסה שלהם לא מושפעת.

אגב, אם החלטתם לקפוץ קדימה ל-iOS/iPadOS 16.1 מוקדם יותר השבוע, ליתר ביטחון...

... אינך יכול כעת לחזור ל-iOS/iPadOS 15.7.1, מכיוון שאפל לא מאפשרת שדרוג לאחור.

(שדרוג לאחור מקל על פריצת ג'יל, שאפל שואפת למנוע, ובכל מקרה תדרוש מחיקת נתונים מלאה תחילה כדי למנוע שימוש בשדרוג לאחור כמעקף אבטחה זדוני "תביא את הבאג שלך" כדי לחלוט מידע אישי).

---