Oppdateringer til Apples null-dagers oppdateringshistorie – iPhone- og iPad-brukere leser dette!

Vanlige lesere vil vite to ting om vår holdning til Apples sikkerhetsoppdateringer:

• Vi liker å få dem så snart vi kan. Enten det er en fullversjonsoppgradering som også inkluderer en haug med sikkerhetsreparasjoner, eller en punktutgivelse (en hvor versjonsnummeret lengst til venstre ikke endres) med hovedformålet å lappe feil i stedet for å legge til nye funksjoner, vil vi heller feile på siden med å bruke kjente sikkerhetsrettinger enn å la enhetene våre ha hull som angripere nå er klar over, selv om de ikke vet hvordan de skal utnytte dem ennå.
• Vi opplever likevel svært ofte at Apples bulletiner er forvirrende. For eksempel vet du aldri helt hvor du står hvis du står fast på en versjon som ikke fikk en oppdatering denne gangen.

Apples siste sikkerhetsbulletiner, som kom ut tidligere denne uken, ser ut til å eksemplifisere hvordan selskapet noen ganger ser ut til å øke forvirringen ved å si for lite ... som ikke alltid er et godt alternativ til å finne ut for mye:

Voksende forvirring

Basert på henvendelsene og kommentarene vi har mottatt fra leserne de siste dagene, oppsto følgende forvirring:

• Hvorfor beskrev en enkelt sikkerhetsbulletin oppdateringer kalt iOS 16.1 og iPadOS 16? Vi vet at iPadOS 16 ble forsinket, så betydde denne nylige oppdateringen at iPadOS nå bare ble lappet til samme sikkerhetsnivå som iOS 16, som kom ut for mer enn en måned siden, mens iOS avanserte til 16.1, og dermed ga iPadOS mer enn fem uker på drift når det gjelder cybersikkerhet?
• Hvorfor rapporterte iPadOS 16 seg selv som versjon 16.1? (Takk til Stefaan fra Belgia for å ha tatt skjermbilder av iPad-oppdateringsprosessen og sendt dem inn.) Etter oppdateringen, About skjermen sier tilsynelatende iPadOS 16, som sikkerhetsbulletinen gjorde, mens iPadOS Version skjermen sier eksplisitt 16.1. Det høres ut som om iPhones og iPads nå ikke bare begge støtter «versjonsfamilien kjent som 16», men også begge har de aller nyeste sikkerhetsreparasjonene, så hvorfor ikke bare kalle dem begge versjon 16.1 overalt for klarhet, inkludert i sikkerhetsbulletinen og på About skjerm?
• Hvor ble det av macOS 10 Catalina? Tradisjonelt dropper Apple støtte for macOS versjon X-3 når versjon X kommer ut, men er at den faktiske forklaringen på hvorfor macOS 11 Big Sur og macOS 12 Monterey (henholdsvis versjon X-2 og X-1) fikk oppdateringer mens Catalina ikke t?
• Hva skjedde med iOS/iPadOS 15.7.1? Når iOS 16 kom ut i september 2022 mottok den forrige versjonsfamilien også kritiske oppdateringer, og tok den til versjon 15.7. Dette inkluderte en kritisk løsning for å stenge av en null-dagers hull på kjernenivå under aktiv utnyttelse, som ofte oversettes som "noen der ute sniker spionprogrammer inn på iPhones, folkens". Så gitt at iOS 16.1 inkludert enda en kernel zero-day fix, kanskje stenger en vei som blir utnyttet av enda mer spyware, hvor var den tilsvarende oppdateringen for iOS/iPadOS 15-familien, som du analogt ville anta ville være 15.7.1?

Som vi sa i gårsdagens podcast, møtt med det fjerde spørsmålet ovenfor fra en bekymret leser, var vårt korte svar ganske enkelt: "DUCK: Vet ikke./DOUG: Klar som gjørme."

Noen ganger gjelder ikke sikkerhetsfeil i operativsystemversjon X for versjon X-1, for eksempel fordi feilene eksisterer i kode som bare ble lagt til, eller bare utsatt for fare, i nyere utgivelser.

Men vi har også sett at Apple ikke klarer å produsere oppdateringer for tidligere versjoner av to andre grunner, enten [a] fordi en oppdatering er virkelig nødvendig, men viste seg å være for vanskelig å bli klar og teste i tide, eller [b] fordi den forrige versjonen ble nå ansett uten støtte, og kom ikke til å få en oppdatering, enten nødvendig eller ikke.

Og med Apples sikkerhetsbulletiner som nesten alltid bare forteller deg om oppdateringer som er tilgjengelige akkurat nå, forblir manglende oppdateringer regelmessig et uforklarlig (og uforklarlig) mysterium.

En eksplosjon av bulletiner

Vel, i morges mottok vi en eksplosjon av 15 sikkerhetsbulletin-e-poster fra Apple , de fleste av dem viser mange av de CVE-nummererte feilene og sikkerhetsproblemene rapportert i bulletinene vi allerede hadde sett tidligere i uken.

Ingen av dem avklarte direkte de tre første spørsmålene ovenfor, selv om vi nå antar at årsaken til at Apple refererte til "iPadOS 16" så vel som til "iPadOS 16.1" var et muligens feilsøkt forsøk på å formidle informasjonen om at iPadOS nå ble forsinket. oppgradering til versjon familie 16, samt få en Oppdater tilsvarende sikkerhetsreparasjoner til den nye iOS 16.1.

Men den aller første bulletinen i den siste salvoen fra Apple løste det siste spørsmålet ovenfor, ved å annonsere iOS/iPadOS 15.7.1, som viser seg å være en kritisk fiks:

APPLE-SA-2022-10-27-1: iOS 15.7.1 og iPadOS 15.7.1 iOS 15.7.1 og iPadOS 15.7.1 løser følgende problemer. Informasjon om sikkerhetsinnholdet er også tilgjengelig på https://support.apple.com/HT213490. [. . .] Kernel Tilgjengelig for: iPhone 6s og nyere, iPad Pro (alle modeller), iPad Air 2 og nyere, iPad 5. generasjon og nyere, iPad mini 4 og nyere, og iPod touch (7. generasjon) Effekt: En applikasjon kan kanskje å kjøre vilkårlig kode med kjerneprivilegier. Apple er klar over en rapport om at dette problemet kan ha blitt aktivt utnyttet. Beskrivelse: Et skriveproblem utenfor grensene ble løst med forbedret grensekontroll. CVE-2022-42827: en anonym forsker

Så, iOS/iPadOS 15 støttes fortsatt, og hvis du ikke bite deg fast og oppgraderte til iOS 16.1 (eller til det skismatisk navngitte iPadOS 16-som-også-16.1) tidligere i uken...

...da bør du sørge for at du skaff deg iOS/iPadOS 15.7.1 med en gang, fordi CVE-2022-42827-kjernens nulldagers hull fikset i iOS 16.1 er akkurat der i iOS/iPadOS 15.7, under aktiv utnyttelse.

Med andre ord, dette var et av de tilfellene der årsaken til den manglende oppdateringen for noen dager siden nesten helt sikkert var at oppdateringene ikke var klare i tide.

Hva gjør jeg?

TL;DR hvis du bruker iPhone eller iPad: hvis du fortsatt bruker iOS/iPadOS hovedversjon 15, gå til innstillinger > general > sikkerhetsoppdatering med en gang.

Sjekk selv om du har automatiske oppdateringer slått på, og husk ikke bare å godkjenne nedlastingen hvis du ikke allerede har den, men også å tvinge enheten gjennom installasjonsstadiet, som krever en eller flere omstarter (og gjør, selvfølgelig, ta telefonen eller nettbrettet frakoblet en stund).

TL;DR hvis du er Apple: litt mer klarhet vil gå langt i sikkerhetsbulletiner, spesielt når du enten vet at en kritisk oppdatering er vingene for brukere av tidligere versjoner, eller at de ikke trenger en oppdatering fordi deres versjon ikke er berørt.

Forresten, hvis du bestemte deg for å gå videre til iOS/iPadOS 16.1 tidligere denne uken, bare for sikkerhets skyld...

…du kan nå ikke gå tilbake til iOS/iPadOS 15.7.1, fordi Apple ikke tillater nedgraderinger.

(Nedgraderinger letter jailbreaking, som Apple har som mål å forhindre, og vil uansett kreve en fullstendig datatørking først for å forhindre at en nedgradering blir brukt som en ondsinnet "bring your own bug"-sikkerhetsomgåelse for å eksfiltrere personlig informasjon.)

---