A Apple corrige o dia zero duplo no navegador e no kernel – atualize agora!

A Apple acaba de lançar uma atualização de emergência para dois bugs de dia zero que aparentemente são sendo ativamente explorado.

Há um furo de execução remota de código (RCE) apelidado CVE-20220-32893 no software de renderização de HTML da Apple (WebKit), por meio do qual uma página da web pode enganar iPhones, iPads e Macs para executar código de software não autorizado e não confiável.

Simplificando, um cibercriminoso pode implantar malware em seu dispositivo, mesmo que tudo o que você faça seja visualizar uma página da Web inocente.

Lembre-se de que o WebKit é a parte do mecanismo do navegador da Apple que fica embaixo de absolutamente todos os softwares de renderização da Web nos dispositivos móveis da Apple.

Os Macs podem executar versões do Chrome, Chromium, Edge, Firefox e outros navegadores “não-Safari” com mecanismos alternativos de HTML e JavaScript (Chromium, por exemplo, usa Piscar e V8; O Firefox é baseado em Lagartixa e Rinoceronte).

Mas no iOS e iPadOS, as regras da App Store da Apple insistem que qualquer software que ofereça qualquer tipo de funcionalidade de navegação na web deve ser baseado no WebKit, incluindo navegadores como Chrome, Firefox e Edge que não dependem do código de navegação da Apple em nenhuma outra plataforma onde você possa usá-los.

Além disso, qualquer aplicativo Mac e iDevice com janelas pop-up, como Ajuda or Sobre as telas usam HTML como sua “linguagem de exibição” – uma conveniência programática que é compreensivelmente popular entre os desenvolvedores.

Aplicativos que fazem isso quase certamente usam o Apple's WebView funções do sistema, e o WebView é baseado diretamente em cima do WebKit, portanto, é afetado por quaisquer vulnerabilidades no WebKit.

A CVE-2022-32893 Portanto, a vulnerabilidade afeta potencialmente muito mais aplicativos e componentes do sistema do que apenas o navegador Safari da Apple, portanto, simplesmente evitar o Safari não pode ser considerado uma solução alternativa, mesmo em Macs onde navegadores não WebKit são permitidos.

Então há um segundo dia zero

Há também um buraco de execução de código do kernel apelidado CVE-2022-32894, pelo qual um invasor que já conquistou um ponto de apoio básico em seu dispositivo Apple, explorando o bug do WebKit mencionado acima…

…poderia saltar de controlar apenas um único aplicativo em seu dispositivo para assumir o próprio kernel do sistema operacional, adquirindo assim o tipo de “superpoderes administrativos” normalmente reservados para a própria Apple.

Isso quase certamente significa que o invasor poderia:

• Espie todo e qualquer aplicativo atualmente em execução
• Baixe e inicie aplicativos adicionais sem passar pela App Store
• Acesse quase todos os dados no dispositivo
• Alterar as configurações de segurança do sistema
• Recupere sua localização
• Tirar screenshots
• Use as câmeras no dispositivo
• Ativar o microfone
• Copiar mensagens de texto
• Acompanhe sua navegação…

…e muito mais.

A Apple não disse como esses bugs foram encontrados (além de creditar “um pesquisador anônimo”), não disse em que parte do mundo eles foram explorados e não disse quem os está usando ou com que finalidade.

Falando livremente, no entanto, um WebKit RCE funcional seguido por uma exploração de kernel funcional, como visto aqui, normalmente fornece toda a funcionalidade necessária para montar um dispositivo jailbreak (portanto, ignorando deliberadamente quase todas as restrições de segurança impostas pela Apple), ou para instalar spyware em segundo plano e mantê-lo sob vigilância abrangente.

O que fazer?

Patch de uma vez!

No momento da redação deste artigo, a Apple publicou avisos para iPad OS 15 e iOS 15, que ambos recebem números de versão atualizados de 15.6.1, E para MacOS Monterey 12, que obtém um número de versão atualizado de 12.5.2.

• No seu iPhone ou iPad: Configurações > Geral > Atualização de software
• No seu Mac: Menu Apple > Sobre este Mac > Atualização de software…

Há também uma atualização que leva RELÓGIO para a versão 8.7.1, mas essa atualização não lista nenhum número CVE e não possui um aviso de segurança próprio.

Não há informações se as versões mais antigas suportadas do macOS (Big Sur e Catalina) são afetadas, mas ainda não têm atualizações disponíveis, ou se o tvOS é vulnerável, mas ainda não corrigido.

Para mais informações, assista a este espaço e fique de olho na página oficial do portal do Boletim de Segurança da Apple, HT201222.