אפל מתקנת יום אפס כפול בדפדפן ובקרנל - עדכן עכשיו!

אפל בדיוק דחפה עדכון חירום עבור שני באגים של יום אפס שהם כנראה מנוצל באופן פעיל.

יש חור לביצוע קוד מרחוק (RCE) המדובב CVE-20220-32893 בתוכנת רינדור ה-HTML של אפל (WebKit), שבאמצעותה דף אינטרנט לכוד בבובי יכול להערים על מכשירי אייפון, אייפד ומאק להפעיל קוד תוכנה לא מורשה ולא מהימן.

במילים פשוטות, פושע סייבר יכול להשתיל תוכנה זדונית במכשיר שלך גם אם כל מה שעשית היה לצפות בדף אינטרנט תמים אחרת.

זכור ש- WebKit הוא החלק במנוע הדפדפן של אפל שנמצא מתחת לכל תוכנות עיבוד האינטרנט במכשירים הניידים של אפל.

מחשבי מקינטוש יכולים להריץ גרסאות של Chrome, Chromium, Edge, Firefox ודפדפנים "שאינם ספארי" אחרים עם מנועי HTML ו-JavaScript חלופיים (Chromium, למשל, משתמש למצמץ ו V8; פיירפוקס מבוסס על שממית ו קרנף).

אבל ב-iOS וב-iPadOS, חוקי ה-App Store של אפל מתעקשים שכל תוכנה שמציעה כל סוג של פונקציונליות של גלישה באינטרנט חייב להיות מבוסס על WebKit, כולל דפדפנים כגון Chrome, Firefox ו-Edge שאינם מסתמכים על קוד הגלישה של אפל בכל פלטפורמה אחרת שבה אתה עשוי להשתמש בהם.

בנוסף, כל אפליקציות Mac ו-iDevice עם חלונות קופצים כגון עֶזרָה or אודות מסכים משתמשים ב-HTML כ"שפת התצוגה" שלהם - נוחות תוכנתית שפופולרית באופן מובן בקרב מפתחים.

אפליקציות שעושות זאת כמעט בוודאות משתמשות באפל תצוגת אינטרנט פונקציות מערכת, ו-WebView מבוסס ישירות על גבי WebKit, לכן הוא מושפע מכל פגיעות ב- WebKit.

השמיים CVE-2022-32893 לכן פגיעות משפיעה על הרבה יותר אפליקציות ורכיבי מערכת מאשר רק על דפדפן הספארי של אפל עצמה, כך שפשוט התרחקות מ-Safari לא יכולה להיחשב כדרך עוקפת, אפילו במחשבי Mac שבהם מותרים דפדפנים שאינם WebKit.

ואז יש יום אפס שני

יש גם חור לביצוע קוד ליבה המדובב CVE-2022-32894, שבאמצעותו תוקף שכבר השיג דריסת רגל בסיסית במכשיר אפל שלך על ידי ניצול באג WebKit הנ"ל...

... יכול לקפוץ משליטה באפליקציה בודדת בלבד במכשיר שלך להשתלטות על ליבת מערכת ההפעלה עצמה, ובכך לרכוש סוג של "כוחות-על אדמיניסטרטיביים" השמורים בדרך כלל לאפל עצמה.

זה כמעט בוודאות אומר שהתוקף יכול:

• רגל אחר כל האפליקציות הפועלות כעת
• הורד והתחל אפליקציות נוספות מבלי לעבור דרך ה-App Store
• גישה כמעט לכל הנתונים במכשיר
• שנה את הגדרות האבטחה של המערכת
• אחזר את המיקום שלך
• קח צילומי מסך
• השתמש במצלמות במכשיר
• הפעל את המיקרופון
• העתק הודעות טקסט
• עקוב אחר הגלישה שלך...

…ועוד הרבה.

אפל לא אמרה כיצד נמצאו באגים אלה (מלבד לזכות "חוקר אנונימי"), לא אמר היכן בעולם הם נוצלו, ולא אמר מי משתמש בהם או לאיזו מטרה.

עם זאת, באופן רופף, WebKit RCE עובד ואחריו ניצול ליבה עובד, כפי שניתן לראות כאן, מספקים בדרך כלל את כל הפונקציונליות הדרושה כדי התקן פריצת jailbreak למכשיר (לכן עוקף בכוונה כמעט את כל מגבלות האבטחה שהוטלו על ידי אפל), או ל להתקין תוכנת ריגול ברקע ולהשאיר אותך תחת מעקב מקיף.

מה לעשות?

תיקון בבת אחת!

בזמן כתיבת שורות אלה, אפל פרסמה ייעוץ עבור iPad OS 15 ו- iOS 15, ששניהם מקבלים מספרי גרסה מעודכנים של 15.6.1, ועבור macOS Monterey 12, שמקבל מספר גרסה מעודכן של 12.5.2.

• באייפון או באייפד שלך: הגדרות > כללי > עדכון תוכנה
• ב- Mac שלך: תפריט Apple > על זה Mac > עדכון תוכנה…

יש גם עדכון שלוקח WATCH לגרסה 8.7.1, אבל העדכון הזה אינו מפרט מספרי CVE, ואין לו ייעוץ אבטחה משלו.

אין מילה אם הגירסאות הנתמכות הישנות יותר של macOS (Big Sur ו-Catalina) מושפעות אך עדיין אין להן עדכונים זמינים, או אם tvOS פגיע אך עדיין לא תוקן.

למידע נוסף, צפו במרחב זה, ושמרו את עיניכם בדף פורטל עלון האבטחה הרשמי של אפל, HT201222.