אפל ביטלה את התיקונים האחרונים שלה, ותיקנה יותר מ-50 פרצות אבטחה עם מספר CVE במגוון המוצרים הנתמכים שלה.
עלוני האבטחה הרלוונטיים, מספרי העדכונים והיכן למצוא אותם באינטרנט הם כדלקמן:
- APPLE-SA-2022-07-20-1: iOS 15.6 ו-iPadOS 15.6, פרטים ב HT213346
- APPLE-SA-2022-07-20-2: macOS Monterey 12.5, פרטים ב HT213345
- APPLE-SA-2022-07-20-3: macOS Big Sur 11.6.8, פרטים ב HT213344
- APPLE-SA-2022-07-20-4: עדכון אבטחה 2022-005 Catalina, פרטים ב HT213343
- APPLE-SA-2022-07-20-5: tvOS 15.6, פרטים ב HT213342
- APPLE-SA-2022-07-20-6: צפה ב-OS 8.7, פרטים ב HT213340
- APPLE-SA-2022-07-20-7: ספארי 15.6, פרטים ב HT213341
כרגיל עם אפל, התיקונים לדפדפן ספארי מצורפים בעדכונים עבור ה-macOS העדכניים ביותר (Monterey), כמו גם בעדכונים עבור iOS ו-iPad OS.
אבל העדכונים עבור הגירסאות הישנות יותר של macOS אינם כוללים את Safari, ולכן עדכון הספארי העצמאי (ראה HT213341 לעיל) חל לפיכך על משתמשים של גרסאות macOS קודמות (גם Big Sur וגם Catalina עדיין נתמכות רשמית), שיצטרכו להוריד ולהתקין שני עדכונים, לא רק אחד.
יום אפס של כבוד
אגב, אם יש לך מק עם גרסה קודמת של macOS, אל תשכח את ההורדה השנייה של Safari, כי זה חשוב ביותר, לפחות עד כמה שאנחנו יכולים לראות.
הסיבה לכך היא שאחד מהתיקונים הקשורים לדפדפן בסבב העדכונים הזה עוסק בפגיעות ב- WebRTC (תקשורת אינטרנט בזמן אמת) ידוע כ CVE-2022-2294...
...ואם המספר הזה נשמע מוכר, הוא צריך, כי זה אותו באג שהיה קבוע כיום אפס מאת Google בכרום (ועל ידי Microsoft ב-Edge) לפני כשבועיים:
באופן מסקרן, אפל לא הכריזה על אף אחת מהפגיעויות של החודש כ"מדווחות בטבע", או כ"באגים של אפס ימים", למרות התיקון הנ"ל שגוגל כינה חור אפס יום.
בין אם זה בגלל שהבאג לא כל כך קל לניצול בספארי, או פשוט בגלל שאף אחד לא עקב אחר התנהגות שגויה ספציפית לספארי לפגם הספציפי הזה, אנחנו לא יכולים להגיד לך, אבל אנחנו מתייחסים אליו כאל "כבוד". אפס יום" פגיעות, ותיקון בקנאות כתוצאה מכך.
חור Pwn2Own סגור
אפל גם תיקנה ככל הנראה את הבאג שמצא חוקר אבטחת הסייבר הגרמני מנפרד פול בתחרות Pwn2Own האחרונה בקנדה, עוד במאי 2022.
הפודקאסט האחרון 🎧 האזינו עכשיו! Firefox & Pwn2Own, Apple ו-0 יום... והמתמטיקה שניצחה את פיתגורס.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j
— אבטחה עירומה (@NakedSecurity) מאי 20, 2022
מנפרד פול ניצל את פיירפוקס עם באג דו-שלבי שהקנה לו 100,000 דולר (50,000 דולר לכל חלק), ונכנס גם לספארי, תמורת פרס נוסף של 50,000 דולר.
ואכן, מוזילה פרסמה את התיקון שלה עבור הבאגים של פול בתוך יומיים על קבלת הדו"ח שלו ב-Pwn2Own:
לאפל, לעומת זאת, לקח חודשיים לספק את התיקון שלה לאחר Pwn2Own:
WebKit
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל לביצוע קוד שרירותי
תיאור: בעיית כתיבה מחוץ לתחום טופלה עם אימות קלט משופר.
CVE-2022-32792: מנפרד פול (@_manfp) עובד עם יוזמת Trend Micro Zero Day [Pwn2Own]
זכור, עם זאת, שחשיפה אחראית היא חלק מתחרות Pwn2Own, כלומר כל מי שתובע פרס נדרש לא רק למסור את הפרטים המלאים על הניצול שלו לספק המושפע, אלא גם לשמור על השקט לגבי הפגיעות עד שהתיקון ייצא .
במילים אחרות, עד כמה שזמן אספקת התיקונים של מוזילה היה מעורר הערכה ומרגש, התגובה האיטית הרבה יותר של אפל היא בכל זאת מקובלת.
זרמי הווידאו החיים שאולי ראיתם מ-Pwn2Own שימשו כדי לציין אם ההתקפה של כל מתחרה הצליחה, במקום לחשוף מידע כלשהו על האופן שבו ההתקפה פעלה בפועל. תצוגות הווידאו ששימשו את המתחרים היו עם הגב למצלמה, כך שניתן היה לראות את פניהם של המתחרים והשופטים, אך לא את מה שהם מקלידים או מסתכלים עליו.
התקפות רב-שלביות
כרגיל, הבאגים הרבים שתוקנה על ידי אפל בעדכונים אלה כוללים פגיעויות שעלולות, בתיאוריה, להיות מרותקות יחדיו על ידי תוקפים נחושים.
באג רשום עם התנאי לכך "ייתכן שאפליקציה עם הרשאות שורש תוכל להפעיל קוד שרירותי עם הרשאות ליבה" לא נשמע מדאיג במיוחד בהתחלה.
אחרי הכל, אם לתוקף כבר יש כוחות שורש, הוא די שולט במחשב שלך בכל מקרה.
אבל כאשר אתה מבחין בבאג במקום אחר במערכת שרשום עם האזהרה כי "ייתכן שאפליקציה תוכל לקבל הרשאות שורש", אתה יכול לראות כיצד הפגיעות האחרונה יכולה להיות קפיצה נוחה ובלתי מורשית לראשונה.
וכאשר אתה מבחין גם בבאג עיבוד תמונה המתואר כ "עיבוד קובץ בעל מבנה זדוני עלול להוביל לביצוע קוד שרירותי", אתה יכול לראות במהירות ש:
- דף אינטרנט ממולכד יכול להכיל תמונה ש משיק קוד לא מהימן.
- הקוד הלא מהימן הזה יכול להשתיל אפליקציה בעלת הרשאות נמוכות.
- האפליקציה הלא רצויה יכולה לרכוש לעצמו כוחות שורש.
- אפליקציית השורש כעת יכולה להחדיר קוד נוכל משלו לתוך הקרנל.
במילים אחרות, תיאורטית לפחות, רק להסתכל על אתר תמים לכאורה...
... יכול לשלוח אותך למפל של צרות, בדיוק כמו האמרה המפורסמת שאומרה, "מחוסר מסמר, הנעל אבדה; בחוסר נעל, הסוס אבד; מחוסר סוס, ההודעה אבדה; מחוסר הודעה, הקרב אבוד... הכל מחוסר מסמר פרסה."
מה לעשות?
לכן, כמו תמיד, אנו ממליצים לך לבצע תיקון מוקדם; תיקון לעתים קרובות; לתקן הכל.
אפל, לזכותה, הופכת את תיקון הכל לברירת המחדל: אתה לא יכול לבחור אילו תיקונים לפרוס ואילו להשאיר "לאחר מכן".
החריג היחיד לכלל זה, כפי שציינו לעיל, הוא שעבור macOS Big Sur ו-macOS Catalina, תקבל את רוב העדכונים של מערכת ההפעלה בהורדה ענקית אחת, ולאחר מכן תהליך הורדה ועדכון נפרד להתקנת הגרסה האחרונה של ספארי.
כרגיל:
- באייפון או באייפד שלך: הגדרות > כללי > עדכון תוכנה
- ב- Mac שלך: תפריט Apple > על זה Mac > עדכון תוכנה…
