DRINGEND! Apple stopt met zero-day-update voor oudere iPhones en iPads

Nou, dit hadden we niet verwacht!

Onze geliefde iPhone 6+, nu bijna acht jaar oud maar in onberispelijke, zo goed als nieuwe staat tot een recente UDI (onbedoeld demontage-incident, ook wel bekend als een fietsprang, die het scherm brak maar het apparaat verder prima deed werken), heeft al bijna een jaar geen beveiligingsupdates van Apple ontvangen.

De laatste update die we ontvingen was terug op 2021-09-23, toen we updaten naar iOS 12.5.5.

Elke volgende update voor iOS en iPadOS 15 heeft begrijpelijkerwijs onze veronderstelling versterkt dat Apple de ondersteuning voor iOS 12 voor altijd had laten vallen, en daarom hebben we de oude iPhone naar de achtergrond gedegradeerd, alleen als een noodapparaat voor kaarten of telefoongesprekken terwijl we onderweg waren.

(We dachten dat een nieuwe crash het scherm waarschijnlijk niet verder zou beschadigen, dus het leek een nuttig compromis.)

Maar dat merken we net Apple heeft besloten iOS 12 alsnog te updaten.

Deze nieuwe update is van toepassing op de volgende modellen: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 en iPod touch 6e generatie. (Voordat iOS 13.1 en iPadOS 13.1 uitkwamen, gebruikten iPhones en iPads hetzelfde besturingssysteem, voor beide apparaten iOS genoemd.)

We hebben geen Security Advisory-e-mail van Apple ontvangen, maar een alerte Naked Security-lezer die weet dat we die oude iPhone 6+ nog hebben, laat het ons weten Apple-beveiligingsbulletin HT213428. (Bedankt!)

Simpel gezegd, Apple heeft een patch gepubliceerd voor CVE-2022-32893, Hetgeen een van de twee mysterieuze zero-day bugs die eerder in augustus 2022 noodpatches ontvingen op de meeste andere Apple-platforms:

Malware-implantatie

Zoals u in het artikel hierboven zult zien, was er een WebKit-bug voor het uitvoeren van externe code, CVE-2022-32893, waarmee een jailbreaker, een spyware-verkoper of een sluwe cybercrimineel u naar een website met boobytraps kon lokken en malware op uw apparaat te implanteren, zelfs als u alleen maar een blik wierp op een verder onschuldig ogende pagina of document.

Toen was er een tweede bug in de kernel, CVE-2022-32894, waardoor de malware zijn tentakels kon uitbreiden tot buiten de app die het zojuist had gecompromitteerd (zoals een browser of een documentviewer), en controle kreeg over de ingewanden van het besturingssysteem. systeem zelf, waardoor de malware andere apps kan bespioneren, wijzigen of zelfs installeren, waarbij Apple's veel geroemde en notoir strikte beveiligingscontroles worden omzeild.

Dus, hier is het goede nieuws: iOS 12 is niet kwetsbaar voor de zero-day CVE-2022-32894 op kernelniveau, wat vrijwel zeker het risico van een totale compromis van het besturingssysteem zelf vermijdt.

Maar hier is het slechte nieuws: iOS 12 is kwetsbaar voor de WebKit-bug CVE-2022-32893, zodat afzonderlijke apps op uw telefoon zeker gevaar lopen te worden gecompromitteerd.

We vermoeden dat Apple op zijn minst enkele prominente (of risicovolle, of beide) gebruikers van oudere telefoons moet zijn tegengekomen die op deze manier werden gecompromitteerd, en besloot om als speciale voorzorgsmaatregel voor iedereen bescherming te bieden.

Het gevaar van WebKit

Onthoud dat WebKit-bugs, losjes gesproken, bestaan ​​in de softwarelaag onder Safari, zodat Apple's eigen Safari-browser niet de enige app is die risico loopt door dit beveiligingslek.

Alle browsers op iOS, zelfs Firefox, Edge, Chrome enzovoort, gebruiken WebKit (dat is een vereiste van Apple als je wilt dat je app de App Store haalt).

En elke app die webinhoud weergeeft voor andere doeleinden dan algemeen browsen, zoals op de helppagina's, zijn Over scherm, of zelfs in een ingebouwde "minibrowser", loopt ook risico omdat het WebKit onder de dekens zal gebruiken.

Met andere woorden, gewoon "Safari vermijden" en vasthouden aan een browser van een derde partij is in dit geval geen geschikte oplossing.

Wat te doen?

We weten nu dat het ontbreken van een update voor iOS 12 toen de nieuwste noodpatches voor recentere iPhones uitkwamen, niet te wijten was aan het feit dat iOS al veilig was.

Het kwam er simpelweg op neer dat er nog geen update beschikbaar was.

Dus, aangezien we nu weten dat iOS 12 is risico lopen, en dat exploits tegen CVE-2022-32893 in het echte leven worden gebruikt, en dat er een patch beschikbaar is...

…dan is het een dringende kwestie van Patch vroeg/patch vaak!

Ga naar Instellingen > Algemeen > software bijwerken, en controleer of u iOS 12.5.6.

Als je de update nog niet automatisch hebt ontvangen, tik je op Download en installeer om het proces meteen te starten:

---