Łaty Apple podwajają zero-day w przeglądarce i jądrze – aktualizuj teraz!

Apple właśnie wydało awaryjną aktualizację dwóch błędów zero-day, które najwyraźniej są aktywnie wykorzystywane.

Istnieje dubbing w zdalnym wykonaniu kodu (RCE) CVE-20220-32893 w oprogramowaniu do renderowania HTML firmy Apple (WebKit), za pomocą którego strona internetowa z pułapką może nakłonić iPhone'y, iPady i komputery Mac do uruchomienia nieautoryzowanego i niezaufanego kodu oprogramowania.

Mówiąc najprościej, cyberprzestępca może wszczepić złośliwe oprogramowanie na Twoje urządzenie, nawet jeśli jedyne, co robisz, to przeglądanie niewinnej strony internetowej.

Pamiętaj, że WebKit jest częścią silnika przeglądarki Apple, która znajduje się pod absolutnie wszystkimi programami do renderowania stron internetowych na urządzeniach mobilnych Apple.

Na komputerach Mac mogą działać wersje Chrome, Chromium, Edge, Firefox i inne przeglądarki „nie-Safari” z alternatywnymi silnikami HTML i JavaScript (na przykład Chromium używa Migać i V8; Firefox jest oparty na Gekon i Rhino).

Ale na iOS i iPadOS zasady Apple App Store nalegają, aby każde oprogramowanie oferujące jakąkolwiek funkcjonalność przeglądania stron internetowych musi być oparty na WebKit, w tym przeglądarki takie jak Chrome, Firefox i Edge, które nie korzystają z kodu przeglądania firmy Apple na innych platformach, na których możesz ich używać.

Dodatkowo wszelkie aplikacje na komputery Mac i iDevice z wyskakującymi okienkami, takie jak Pomoc or O nas ekrany używają HTML jako swojego „języka wyświetlania” – programistycznej wygody, która jest zrozumiała dla programistów.

Aplikacje, które to robią, prawie na pewno używają Apple Widok sieciowy funkcje systemowe, a WebView jest oparty bezpośrednio na WebKit, więc jest narażony na wszelkie luki w oprogramowaniu WebKit.

Połączenia CVE-2022-32893 w związku z tym luka w zabezpieczeniach potencjalnie wpływa na znacznie więcej aplikacji i komponentów systemu niż tylko przeglądarka Safari firmy Apple, więc po prostu omijanie Safari nie może być uważane za obejście, nawet na komputerach Mac, na których dozwolone są przeglądarki inne niż WebKit.

Potem jest drugi dzień zerowy

Istnieje również nazwana dziura w wykonaniu kodu jądra CVE-2022-32894, dzięki której osoba atakująca, która zdobyła już podstawową przyczółek na Twoim urządzeniu Apple, wykorzystując wspomniany wyżej błąd WebKit…

…może przeskoczyć od kontrolowania tylko jednej aplikacji na twoim urządzeniu do przejęcia samego jądra systemu operacyjnego, zdobywając w ten sposób rodzaj „supermocy administracyjnych” zwykle zarezerwowanych dla samego Apple.

To prawie na pewno oznacza, że ​​atakujący może:

• Szpieguj wszystkie aktualnie uruchomione aplikacje
• Pobieraj i uruchamiaj dodatkowe aplikacje bez przechodzenia przez App Store
• Uzyskaj dostęp do prawie wszystkich danych na urządzeniu
• Zmień ustawienia zabezpieczeń systemu
• Pobierz swoją lokalizację
• Rób zrzuty ekranu
• Użyj kamer w urządzeniu
• Aktywuj mikrofon
• Kopiuj wiadomości tekstowe
• Śledź przeglądanie…

…i wiele więcej.

Apple nie powiedziało, w jaki sposób znaleziono te błędy (poza uznaniem) „anonimowy badacz”), nie powiedział, gdzie na świecie zostały wykorzystane, ani kto ich używa ani w jakim celu.

Ogólnie rzecz biorąc, działający WebKit RCE, po którym następuje działający exploit jądra, jak widać tutaj, zazwyczaj zapewnia wszystkie funkcje potrzebne do zamontuj jailbreak urządzenia (dlatego celowo omija prawie wszystkie ograniczenia bezpieczeństwa nałożone przez Apple) lub do zainstaluj oprogramowanie szpiegujące w tle i utrzymywać Cię pod kompleksowym nadzorem.

Co robić?

Łatka od razu!

W chwili pisania tego tekstu firma Apple opublikowała porady dla iPad OS 15 i iOS 15, które otrzymują zaktualizowane numery wersji 15.6.1, A na macOS Monterey 12, który otrzymuje zaktualizowany numer wersji 12.5.2.

• Na iPhonie lub iPadzie: Ustawienia > Ogólne > Aktualizacja oprogramowania
• Na komputerze Mac: Menu Apple > O tym komputerze Mac > Aktualizacja oprogramowania…

Jest też aktualizacja, która trwa WATCH do wersji 8.7.1, ale ta aktualizacja nie zawiera żadnych numerów CVE i nie zawiera własnego poradnika bezpieczeństwa.

Nie wiadomo, czy dotyczy to starszych obsługiwanych wersji systemu macOS (Big Sur i Catalina), ale nie ma jeszcze dostępnych aktualizacji, lub czy tvOS jest podatny, ale jeszcze nie załatany.

Aby uzyskać więcej informacji, obserwuj to miejsce i obserwuj oficjalną stronę portalu Biuletyn Bezpieczeństwa firmy Apple, HT201222.