A Apple corrige o bug do navegador "0-day" corrigido há 2 semanas no Chrome, Edge

A Apple liberou seus patches mais recentes, corrigindo mais de 50 vulnerabilidades de segurança numeradas CVE em sua gama de produtos suportados.

Os boletins de segurança relevantes, números de atualização e onde encontrá-los online são os seguintes:

• APPLE-SA-2022-07-20-1: iOS 15.6 e iPadOS 15.6, detalhes em HT213346
• APPLE-SA-2022-07-20-2: MacOS Monterey 12.5, detalhes em HT213345
• APPLE-SA-2022-07-20-3: MacOS Big Sur 11.6.8, detalhes em HT213344
• APPLE-SA-2022-07-20-4: Atualização de segurança 2022-005 Catalina, detalhes em HT213343
• APPLE-SA-2022-07-20-5: tvOS 15.6, detalhes em HT213342
• APPLE-SA-2022-07-20-6: watchOS 8.7, detalhes em HT213340
• APPLE-SA-2022-07-20-7: Safári 15.6, detalhes em HT213341

Como de costume na Apple, os patches do navegador Safari são incluídos nas atualizações para o macOS mais recente (Monterey), bem como nas atualizações para iOS e iPad OS.

Mas as atualizações para as versões mais antigas do macOS não incluem o Safari, então a atualização autônoma do Safari (consulte HT213341 acima), portanto, se aplica a usuários de versões anteriores do macOS (Big Sur e Catalina ainda são oficialmente suportados), que precisarão baixar e instalar duas atualizações, não apenas uma.

Um dia zero honorário

A propósito, se você tiver um Mac com uma versão anterior do macOS, não se esqueça desse segundo download para o Safari, porque é de vital importância, pelo menos até onde podemos ver.

Isso porque um dos patches relacionados ao navegador nesta rodada de atualizações lida com uma vulnerabilidade no WebRTC (comunicações web em tempo real) conhecido como CVE-2022-2294...

…e se esse número parece familiar, deveria, porque é o mesmo bug que foi fixado como um dia zero pelo Google no Chrome (e pela Microsoft no Edge) cerca de duas semanas atrás:

Curiosamente, a Apple não declarou nenhuma das vulnerabilidades deste mês como “relatadas como inexploradas” ou como “bugs de dia zero”, apesar do patch acima mencionado que foi apelidado de buraco de dia zero pelo Google.

Seja porque o bug não é tão fácil de explorar no Safari, ou simplesmente porque ninguém rastreou nenhum mau comportamento específico do Safari para essa falha em particular, não podemos dizer a você, mas estamos tratando isso como um “honorário vulnerabilidade zero-day” e corrigindo zelosamente como resultado.

Pwn2Own buraco fechado

A Apple também aparentemente corrigiu o bug encontrado pelo pesquisador alemão de segurança cibernética Manfred Paul na recente competição Pwn2Own no Canadá, em maio de 2022.

Último podcast 🎧 Ouça agora! Firefox & Pwn2Own, Apple e um dia 0… e a matemática que derrotou Pitágoras.https://t.co/HDrZPQzlAQ pic.twitter.com/DxgdC8VM1j

— Segurança Nua (@NakedSecurity) 20 de maio de 2022

Manfred Paul explorou o Firefox com um bug de dois estágios que lhe rendeu $ 100,000 ($ 50,000 para cada parte), e entrou no Safari também, por mais $ 50,000 de recompensa.

De fato, a Mozilla publicou sua correção para os bugs de Paul Em dois dias de receber seu relatório na Pwn2Own:

A Apple, por outro lado, levou dois meses para entregar seu patch pós-Pwn2Own:

WebKit

Impacto: O processamento de conteúdo da Web criado com códigos maliciosos pode levar à execução arbitrária de código

Descrição: Um problema de gravação fora dos limites foi resolvido com validação de entrada aprimorada.

CVE-2022-32792: Manfred Paul (@_manfp) trabalhando com a Trend Micro Zero Day Initiative [Pwn2Own]

Lembre-se, no entanto, que a divulgação responsável faz parte da competição Pwn2Own, o que significa que qualquer pessoa que reivindicar um prêmio é obrigada não apenas a entregar os detalhes completos de sua exploração ao fornecedor afetado, mas também a ficar quieto sobre a vulnerabilidade até que o patch seja lançado. .

Em outras palavras, por mais louvável e empolgante que tenha sido o tempo de entrega de dois dias do patch da Mozilla, a resposta muito mais lenta da Apple é aceitável.

Os fluxos de vídeo ao vivo que você pode ter visto do Pwn2Own serviram para indicar se o ataque de cada concorrente foi bem-sucedido, em vez de revelar qualquer informação sobre como o ataque realmente funcionou. As telas de vídeo usadas pelos competidores estavam de costas para a câmera, para que você pudesse ver os rostos dos competidores e juízes, mas não o que eles estavam digitando ou olhando.

Ataques em vários estágios

Como de costume, os inúmeros bugs corrigidos pela Apple nessas atualizações incluem vulnerabilidades que poderiam, em teoria, ser encadeadas por determinados invasores.

Um bug listado com a condição de que “um aplicativo com privilégios de root pode executar código arbitrário com privilégios de kernel” não soa terrivelmente preocupante no início.

Afinal, se um invasor já tem poderes de root, ele está praticamente no controle do seu computador.

Mas quando você notar um bug em outro lugar no sistema que está listado com o aviso de que “um aplicativo pode obter privilégios de root”, você pode ver como a última vulnerabilidade pode ser um trampolim conveniente e não autorizado para a primeira.

E quando você também notar um bug de renderização de imagem descrito como “processar um arquivo criado com códigos maliciosos pode levar à execução arbitrária de código”, você pode ver rapidamente que:

• Uma página da Web com armadilhas pode conter uma imagem que lança código não confiável.
• Esse código não confiável poderia implantar um aplicativo de baixo privilégio.
• O aplicativo indesejado pode adquirir poderes de raiz para si.
• O aplicativo agora root pode injetar seu próprio código desonesto no kernel.

Em outras palavras, pelo menos teoricamente, apenas olhando para um site aparentemente inocente…

…poderia enviar você caindo em uma cascata de problemas, assim como o famoso ditado que diz, “Por falta de um prego, perdeu-se o sapato; por falta de ferradura, perdeu-se o cavalo; por falta de um cavalo, a mensagem foi perdida; por falta de uma mensagem, a batalha foi perdida... tudo por falta de um prego de ferradura.”

O que fazer?

É por isso que, como sempre, recomendamos que você corrija com antecedência; remendo frequentemente; remendar tudo.

A Apple, para seu crédito, torna tudo o patch padrão: você não pode escolher quais patches implantar e quais deixar “para depois”.

A única exceção a essa regra, como observamos acima, é que, para o macOS Big Sur e o macOS Catalina, você receberá a maior parte das atualizações do sistema operacional em um download gigante, seguido por um processo separado de download e atualização para instalar o última versão do Safari.

Como sempre:

• No seu iPhone ou iPad: Configurações > Geral > Atualização de software
• No seu Mac: Menu Apple > Sobre este Mac > Atualização de software…

---