Apple lansează în liniște un alt patch pentru bug-ul RCE Zero-Day

Apple a lansat în liniște mai multe actualizări pentru iOS pentru a remedia o vulnerabilitate de securitate zero-day exploatată în mod activ pe care a corectat-o ​​la începutul acestei luni pe dispozitivele mai noi. Vulnerabilitatea, găsită în WebKit, poate permite atacatorilor să creeze conținut web rău intenționat care permite executarea codului de la distanță (RCE) pe dispozitivul unui utilizator.

O actualizare lansat miercuri, iOS 12.5.6, se aplică următoarelor modele: iPhone 5S, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3 și iPod touch a șasea generație.

Defectul în cauză (CVE-2022-32893) este descris de Apple ca o problemă de scriere în afara limitelor în WebKit. A fost abordat în patch cu verificarea limitelor îmbunătățită. Apple a recunoscut că eroarea se află sub exploatare activă și îi îndeamnă pe utilizatorii dispozitivelor afectate să actualizeze imediat.

Apple a corectat deja vulnerabilitatea pentru unele dispozitive – alături de o defecțiune a nucleului urmărită ca CVE-2022-32894 – mai devreme în august în iOS 15.6.1. Asta e o actualizare care acoperă iPhone 6S și versiuni ulterioare, iPad Pro (toate modelele), iPad Air 2 și versiuni ulterioare, iPad a 5-a generație și mai târziu, iPad mini 4 și versiuni ulterioare și iPod touch (a șaptea generație).

Cea mai recentă rundă de patch-uri pare să fie Apple care își acoperă toate bazele adăugând protecție pentru iPhone-urile care rulează versiuni mai vechi de iOS, a remarcat evanghelistul de securitate Paul Ducklin.

„Bănuim că Apple trebuie să fi întâlnit cel puțin câțiva utilizatori de telefoane mai vechi (sau cu risc ridicat, sau ambele) care au fost compromisi în acest fel și a decis să elimine protecția pentru toată lumea ca o precauție specială, " el a scris într-un post pe blogul Sophos Naked Security.

Acoperirea duală de către Apple pentru a remedia bug-ul în ambele versiuni de iOS se datorează modificării în care versiunile platformei rulează pe care iPhone-uri, a explicat Ducklin.

Înainte ca Apple să lanseze iOS 13.1 și iPadOS 13.1, iPhone-urile și iPad-urile foloseau același sistem de operare, denumit iOS pentru ambele dispozitive, a spus el. Acum, iOS 12.x acoperă iPhone 6 și dispozitivele anterioare, în timp ce iOS 13.1 și versiunile ulterioare rulează pe iPhone 6s și pe dispozitivele lansate ulterior.

Celălalt defect zero-day pe care Apple l-a corectat la începutul acestei luni, CVE-2022-32894, a fost o vulnerabilitate a nucleului care poate permite preluarea întregului dispozitiv. Dar, în timp ce iOS 13 a fost afectat de acest defect - și, astfel, a primit un patch pentru el în actualizarea anterioară - nu afectează iOS 12, a observat Ducklin, „ceea ce aproape sigur evită riscul de compromis total al sistemului de operare în sine” pe mai vechi. dispozitive.

WebKit: O suprafață largă de atac cibernetic

WebKit este motorul de browser care alimentează Safari și toate celelalte browsere terțe care funcționează pe iOS. Prin exploatarea CVE-2022-32893, un actor de amenințare poate construi conținut rău intenționat într-un site web. Apoi, dacă cineva vizitează site-ul de pe un iPhone afectat, actorul poate executa de la distanță programe malware pe dispozitivul său.

WebKit, în general, a fost un ghimpe persistent în partea Apple atunci când vine vorba de expunerea utilizatorilor la vulnerabilități, deoarece se răspândește dincolo de iPhone și alte dispozitive Apple la alte browsere care îl folosesc - inclusiv Firefox, Edge și Chrome - punând potențial milioane de utilizatori în pericol de un bug dat.

„Amintiți-vă că erorile WebKit există, în mod vag, la nivelul software-ului de sub Safari, astfel încât browserul Apple Safari nu este singura aplicație expusă riscului de această vulnerabilitate”, a observat Ducklin.

În plus, orice aplicație care afișează conținut web pe iOS în alte scopuri decât navigarea generală - cum ar fi în paginile sale de ajutor, "Despre" ecran, sau chiar într-un „minibrowser” încorporat – folosește WebKit sub capotă, a adăugat el.

„Cu alte cuvinte, doar „evitarea Safari” și rămânerea la un browser terță parte nu este o soluție adecvată [pentru erorile WebKit]”, a scris Ducklin.

Apple atacat

În timp ce utilizatorii și profesioniștii au considerat în mod tradițional platformele Apple Mac și iOS ca fiind mai sigure decât Microsoft Windows - și acest lucru a fost în general adevărat din mai multe motive - valul începe să se întoarcă, spun experții.

Într-adevăr, un peisaj emergent de amenințări care arată mai mult interes pentru a viza tehnologii web mai ubicue și nu sistemul de operare în sine a lărgit ținta pe spatele lui Apple, conform un raport de amenințare lansat în ianuarie, iar strategia de patch defensivă a companiei reflectă acest lucru.

Apple a corectat cel puțin patru defecte zero-day anul acesta, cu două patch-uri pentru vulnerabilitățile anterioare iOS și macOS. ianuarie și unul în februarie — cel din urmă a remediat o altă problemă exploatată activ în WebKit.

Mai mult, anul trecut 12 din 57 de amenințări zero-day pe care cercetătorii de la Google Project Zero pe senile au fost legate de Apple (adică, mai mult de 20%), cu probleme care afectează macOS, iOS, iPadOS și WebKit.