Apple は、積極的に悪用されているゼロデイ セキュリティの脆弱性を修正するために、今月初めに新しいデバイスにパッチを適用し、iOS にさらに多くのアップデートを静かに展開しました。 WebKit に見られる脆弱性により、攻撃者はユーザーのデバイスでリモート コード実行 (RCE) を可能にする悪意のある Web コンテンツを作成することができます。
アップデート 水曜日にリリースされた iOS 12.5.6 は、次のモデルに適用されます: iPhone 5S、iPhone 6、iPhone 6 Plus、iPad Air、iPad mini 2、iPad mini 3、および iPod touch 第 6 世代。
問題の欠陥 (CVE-2022-32893) は、Apple によって WebKit の境界外書き込みの問題として説明されています。 これは、境界チェックを改善したパッチで対処されました。 Apple は、このバグが活発に悪用されていることを認めており、影響を受けるデバイスのユーザーにただちに更新するよう促しています。
Apple は、CVE-2022-32894 として追跡されているカーネルの欠陥とともに、一部のデバイスの脆弱性に既にパッチを適用しています。 XNUMX月上旬 iOS 15.6.1 で。 それは アップデート iPhone 6S 以降、iPad Pro (全モデル)、iPad Air 2 以降、iPad 第 5 世代以降、iPad mini 4 以降、iPod touch (第 7 世代) が対象です。
セキュリティ エバンジェリストの Paul Ducklin 氏は、最新のパッチは、古いバージョンの iOS を実行している iPhone に保護を追加することで、Apple がすべての基盤をカバーしているように見えると述べています。
「Apple は、この方法で侵害された古い携帯電話の著名な (またはリスクの高い、あるいはその両方の) ユーザーに少なくとも何人か出くわし、特別な予防措置としてすべての人に保護を提供することを決定したにちがいないと推測しています。 " 彼が書きました 郵便で Sophos Naked Security ブログで。
iOS の両方のバージョンのバグを修正するために Apple が二重にカバーしているのは、プラットフォームのどのバージョンがどの iPhone で実行されるかが変更されたためだと、Ducklin 氏は説明した。
Apple が iOS 13.1 と iPadOS 13.1 をリリースする前は、iPhone と iPad は同じオペレーティング システムを使用しており、両方のデバイスで iOS と呼ばれていました。 現在、iOS 12.x は iPhone 6 以前のデバイスをカバーし、iOS 13.1 以降のバージョンは iPhone 6s およびそれ以降にリリースされたデバイスで動作します。
Apple が今月初めにパッチを適用したもう 2022 つのゼロデイ脆弱性 CVE-32894-13 は、デバイス全体の乗っ取りを可能にするカーネルの脆弱性でした。 しかし、iOS 12 はその欠陥の影響を受けており、そのため以前のアップデートでパッチが適用されていましたが、iOS XNUMX には影響しないとダックリン氏は述べています。デバイス。
WebKit: 幅広いサイバー攻撃面
WebKit は、iOS で動作する Safari およびその他すべてのサードパーティ ブラウザーを強化するブラウザー エンジンです。 CVE-2022-32893 を悪用することで、攻撃者は悪意のあるコンテンツを Web サイトに組み込むことができます。 その後、誰かが感染した iPhone からサイトにアクセスすると、攻撃者は自分のデバイスでマルウェアをリモートで実行できます。
一般に、WebKit は、ユーザーを脆弱性にさらすことに関して、Apple 側で根強い問題となっています。これは、WebKit が iPhone やその他の Apple デバイスを超えて、それを使用する他のブラウザー (Firefox、Edge、Chrome など) に拡散し、潜在的に何百万人ものユーザーを危険にさらす可能性があるためです。与えられたバグ。
「大まかに言えば、Safari の下のソフトウェア層に WebKit のバグが存在することを思い出してください。そのため、Apple 自身の Safari ブラウザだけがこの脆弱性による危険にさらされるアプリではありません」と Ducklin 氏は述べています。
さらに、一般的なブラウジング以外の目的で iOS に Web コンテンツを表示するアプリ — ヘルプ ページ、 "約" 画面、または組み込みの「ミニブラウザー」でさえ、内部で WebKit を使用していると彼は付け加えました。
「言い換えれば、『Safari を避けて』サードパーティ製ブラウザに固執するだけでは、[WebKit バグの] 適切な回避策にはなりません」と Ducklin 氏は書いています。
攻撃を受けているアップル
ユーザーも専門家もこれまで、Apple の Mac および iOS プラットフォームは Microsoft Windows よりも安全であると考えてきましたが、これは多くの理由から一般的に正しいことですが、潮流が変わり始めていると専門家は言います。
実際、OS 自体ではなく、よりユビキタスな Web テクノロジを標的とすることへの関心が高まっていることを示す新たな脅威の状況 対象を広げた によると、アップルの背中に 脅威レポート XNUMX 月にリリースされ、同社の防御的なパッチ戦略はこれを反映しています。
Apple は今年、少なくとも XNUMX つのゼロデイ脆弱性にパッチを適用しており、以前の iOS および macOS の脆弱性に対する XNUMX つのパッチが提供されています。 1月 そして一つ 2月 — 後者は、WebKit で活発に悪用されている別の問題を修正しました。
さらに、昨年、Google の Project Zero の研究者が調査した 12 件のゼロデイ脅威のうち 57 件が 追跡 Apple 関連 (20% 以上) で、macOS、iOS、iPadOS、および WebKit に影響する問題がありました。
